Имеет ли смысл использовать актуальное ПО на веб-сервере?

Question

[Андрей Бережной]

Часто задаюсь вопросом, а стоит ли использовать актуальный софт на веб-сервере (и продакшн-серверах других типов)?

Имеется веб-сервер, работающих на Ubuntu Server 12.04.3 LTS. Используется связка nginx + php-fpm.

Nginx установлен с официального репозитория.
PHP версии 5.4 установлен из репозитория Debphp.org
MySQL из репозитория Ubuntu (ранее была MariaDB)

Так вот. Имеет ли это смысл? Или, как я понимаю, это зависит от требований отдельного проекта?

Answer 1

[Александр]

Разумеется всё зависит от конкретного проекта или задачи сервера. В некоторых случаях можно вообще никогда не обновлять. Но всё же обновляться лучше регулярно, главное чтобы ничего не ломалось, а для этого сперва надо тестировать/обкатывать.
Вот типичный пример, с которым я сталкивался в том или ином виде. Допустим есть сервер с одним крупным проектом или кучей мелких сайтов, которые создавались лет 5 назад или ранее. На них ничего не обновлялось и используется версия php 5.1-5.2. Попытка обновиться хотя бы до 5.3 во-первых вызвала трудности обновления сервера (стояла убунту 8.04 со своими какими-то неведомыми настройками), во-вторых, при тестировании на новой версии часть веб-проектов не завелась, одни баги лечились легко, а другие были порыты где-то в недрах древних CMS. В итоге пришлось делать вторую чистую виртуалку и переносить то, что можно было перенести.
Чтобы подытожить, в результате отсутствия своевременных обновлений была потеряна куча времени. Если бы миграция на новые версии происходила постепенно, то трудозатраты были бы распределены более равномерно. Я говорю и о серверном софте, и проектах.
Ну а ставить заплатки это вообще не обсуждается.

Answer 2

[Алексей]

Читайте changelog для каждого софта, увидели исправление exploit например, обновить обязательно. В остальном решайте сами. Только не забудьте протестировать новую версию.

Comments

[Андрей Бережной]

Но ведь вы понимаете, что в те версии, которые находятся в репозитории дистрибьютива (особенно RHEL/CentOS), эти Security-фиксы бэкпортируются. Поэтому таким вопросом и задаюсь :)

Answer 3

[Roman Hinex]

Я просто оставлю это здесь

Comments

[betal]

Уже обсуждалось что конкретно эта уязвимость бывает при наличии очень многих ненормальных условий настройки сервера. Но в целом я согласен, как минимум обновлять приложения с целью устранения ошибок безопасности часто бывает целесообразно.

[kyberorg]

К чести разработчиков Nginx, новая версия с фиксом была доступна через весьма короткий промежуток времени.

Answer 4

[Игорь]

Обновлять и использовать самое актуальное ПО не целесообразно по экономическим причинам. (Переписывать и вылавливать баги долго и дорого)

Но патчи и исправления применять просто необходимо. И это чаще всего строка кода или отключение не используемого.

Answer 5

[Pilat]

Понятие "актуальный софт" надо сначала определить. Если это последняя версия софта, то это одно, если это обновления для текущей версии в дистрибутиве - это другое. Всё определяется наличием ресурсов, если версию из дистрибутива поддерживает дистрибутив, ставит все патчи, тестирует совместимость, то последнюю версию придётся поддерживать самостоятельно, и совсем не факт, что у Вас хватит на это времени и знаний сейчас и уж совсем вряд ли потом будет лишнее время, когда будет десяток проектов на разных "последних версиях", изменения в которых надо согласовывать с программистами, которые сделали проект и уволились. Так что для обычного применения, когда нет большой компании, лучше использовать стандартную версию из дистрибутива - простота поддержки окупит любые потери производительности, а новые фичи появляются постоянно и за всеми не угонишься.