Caddy 2.11.9, שפורסמה ב־5 בנובמבר 2026, מתקנת ליקויי אבטחה ותקלה בדפי אינדקס של תיקיות PHP שנוספה ב־2.11.8. המתחזקים ממליצים למי שמגיש PHP ב־2.11.8 לשדרג. השאלה התפעולית היא האם התצורה בפועל אוכפת את כללי הגישה שמחברה התכוון להחיל.
מדיניות סותרת לתעודות לקוח נעצרת כעת בשגיאה
תיקון אימות הלקוח דוחה שתי הגדרות client_auth מפורשות וסותרות בעת מיזוג מדיניות TLS בעלות תנאי התאמה זהים. קודם לכן, מדיניות שנייה מחמירה יותר הייתה עלולה להיעלם. הדבר חל גם על כתובות אתר מסוג host ו־host:443, ולא רק על כתובות עם נתיב, שהשימוש בהן כבר אינו מומלץ. המרת Caddyfile נכשלת כעת, במקום לבחור במדיניות המחמירה ביותר.
שמרו את זהות המשתמש בשליטת המפעיל
תיקון FastCGI משנה את סדר הקדימות: ערכי env שהוגדרו גוברים כעת על כותרות בקשה תואמות. קודם לכן, פונה היה יכול להחליף משתני HTTP_* שהוגדרו, לרבות ערך זהות שעליו יישום PHP סומך. הסיכון תלוי בתצורה הזאת ובהסתמכות היישום עליה; אין כאן טענה שכל פריסת Caddy חושפת עקיפת אימות.
בדקו ניתוב ולא רק בקשות מוצלחות
השינוי בבחירת הסקריפט דוחה בקשות בקוד 400 כאשר צורת הנתיב המקודדת והמפוענחת היו בוחרות סקריפטים שונים ב־FastCGI. הוא מטפל באי־התאמה בין תבניות התאמת נתיב המכילות סימן אחוז לבין טיפול השרת האחורי בנתיב. בקשה מוצלחת לדף הציבורי לבדה אינה בודקת את הגבול הזה.
- מפו את הבינארי הפרוס, חבילת ההפצה והמודולים המותאמים. אשרו את הבנייה המתוקנת אצל הספק, במקום להסיק את מצב חבילתו ממספר גרסה של הפרויקט המקורי.
- אמתו את התצורה המועמדת לפני החלפת שירות פועל. בדקו גישה מותרת ואסורה, טיפול בזהות בשרת האחורי וכתובות רגילות של תיקיות PHP בסביבה מבוקרת.
- הגדירו תנאי קבלה ואחראי להתאוששות. חקרו שגיאות תצורה חדשות או תשובות 400 לפני החלשת בקרות לשם שחזור ההתנהגות הקודמת.
זו סקירה ממוקדת של תיקונים נבחרים, לא יומן השינויים המלא. לא ביססנו טווחי גרסאות פגיעות מלאים או ניצול בפועל. הבדיקות לעיל הן הצעות; לא הרצנו את השחזורים המדווחים ולא בדקנו פריסה.