El 3 de noviembre Plesk publicó dos actualizaciones de seguridad para Linux, la 18.0.82 Update 2 y la 18.0.81 Update 7. Las dos corrigen un problema que el propio fabricante califica de crítico, con la recomendación de aplicarlas cuanto antes. Esa misma noche las instalamos en nuestros servidores de hosting y en el que sirve esta web.
Lo que se sabe del fallo
Muy poco, y preferimos decirlo tal cual. El registro de cambios de Plesk no explica qué componente estaba afectado ni cómo se explota, y al cerrar esta noticia no hemos encontrado ningún CVE publicado que lo identifique. Por eso no te vamos a dar una puntuación de gravedad: tendríamos que inventárnosla.
Lo que sí indica Plesk es que la actualización cambia las plantillas de los hosts virtuales y que, al instalarla, se regenera la configuración de todos los dominios. Si no tienes plantillas personalizadas, el proceso no te pide nada más. Si las tienes, sigue leyendo, porque nos pasó a nosotros.
Qué hemos hecho
- Hemos actualizado el servidor de hosting compartido a Plesk 18.0.82 Update 2.
- Hemos actualizado a Plesk 18.0.81 Update 7 el servidor que aloja netebu.com y un grupo pequeño de webs.
- Hemos revisado después la configuración generada dominio por dominio, sin quedarnos con que la actualización hubiera terminado bien.
Esa revisión tuvo premio. En uno de los dos servidores, la actualización se instaló correctamente, pero una plantilla personalizada antigua impedía que el cambio llegara a los dominios: el panel marcaba la versión correcta y la configuración seguía siendo la de antes. Rehicimos la plantilla a partir de la nueva versión de Plesk y regeneramos los dominios. Después volvimos a comprobar las versiones en los dos servidores.
Quién tiene que hacer algo
- Hosting compartido con nosotros: nada. El servidor es nuestro y la actualización ya está aplicada.
- VPS administrado: lo gestionamos nosotros dentro del acuerdo de mantenimiento.
- VPS no administrado o servidor dedicado con tu propio Plesk: es cosa tuya, y conviene hacerlo hoy.
Si administras tu propio Plesk
- Ten hecha una copia reciente. En nuestros VPS puedes sacar una instantánea en un momento: Copias de seguridad instantáneas y clave SSH en tu VPS.
- Comprueba la versión con
plesk version. Tiene que ser 18.0.82.2, 18.0.81.7 o posterior. También puedes verlo en Herramientas y configuración > Actualizaciones. - Si no llegas a esas versiones, actualiza.
- Mira si tienes plantillas personalizadas con
ls /usr/local/psa/admin/conf/templates/custom. Si hay ficheros, compáralos con las plantillas nuevas de Plesk y traslada el cambio. Que el panel marque la versión correcta no prueba que la plantilla esté al día.
Si tienes aplicaciones Java en tu servidor
Varios administradores han avisado en el foro de Plesk de que, tras la Update 7, Apache rechaza las conexiones AJP hacia aplicaciones como Tomcat. El error que aparece en el registro es proxy_lock: refused proxy backend ajp://localhost. El personal de Plesk explica que el nuevo módulo mod_proxy_lock restringe a propósito esas conexiones y anuncia un arreglo. Los proxies por HTTP y HTTPS siguen funcionando. Desactivar el módulo te devuelve el servicio, pero también quita esa protección, así que úsalo solo como medida temporal.
Si no tienes claro qué modalidad tienes contratada, aquí está la diferencia entre VPS administrado y no administrado. Y si prefieres que del mantenimiento nos encarguemos nosotros, tienes la gama completa en servidores VPS.
Fuentes: Change Log de Plesk Obsidian · Foro de Plesk: conexiones AJP tras la Update 7