4.1.5

4.1.5 tiếp nối 4.1.4. Các bản sửa chính là về bảo mật: bộ nhớ đệm Redis/Valkey dùng chung nay được bảo mật trên mọi máy chủ, và bản cập nhật bảo mật lại bộ nhớ đệm mà lần cài trước để mở; đổi mật khẩu hộp thư từ panel nay thật sự kết thúc các phiên webmail khác của hộp thư đó. Bản này cũng làm cho wp chạy được trên AlmaLinux và RHEL, và đưa kho chứng chỉ gốc TLS vượt qua RUSTSEC-2026-0381 và RUSTSEC-2026-0382.

Ghi chú nâng cấp và thay đổi hành vi​

• Bộ nhớ đệm Redis/Valkey dùng chung được bảo mật trên mọi máy chủ, và bản cập nhật bảo mật lại bộ nhớ đệm đang để mở. Đến 4.1.4, một lần cài mới trên máy chủ có bất kỳ người dùng nào với uid từ 1000 trở lên (mọi image cloud Ubuntu đều có ubuntu) coi người dùng đó là tài khoản hosting và để bộ nhớ đệm dùng chung không có mật khẩu, cũng không có đăng nhập riêng cho từng tài khoản. Trên Ubuntu 24.04, Valkey còn bị gán socket của Redis, không khởi động được, và panel quay về Redis đang mở trên 127.0.0.1:6379. Nay danh sách tài khoản hosting lấy từ chính panel, mỗi engine có socket riêng, và mỗi lần cập nhật chạy hitechcloudcli objectcache secure all --heal trong bước mới cache-secure. Với bộ nhớ đệm đang mở, bước này tạo đăng nhập cho từng tài khoản, chuyển bộ nhớ đệm WordPress của panel sang các đăng nhập đó, và đổi khóa đăng nhập của panel và webmail tại chỗ, nên phiên 2083 và webmail vẫn giữ nguyên. Bộ nhớ đệm đã được bảo mật thì không bị đụng tới. (hitechcloudcli#482)
• Đổi mật khẩu hộp thư trong 2083, 2087, portal hoặc qua mailsync sẽ đăng xuất hộp thư đó khỏi các phiên webmail khác. Lẽ ra việc này đã có từ trước, nhưng webmail chưa bao giờ có endpoint mà panel và mailsync gọi. Lỗi 404 bị bỏ qua, nên một phiên webmail đang đăng nhập vẫn dùng được sau khi mật khẩu đã đổi. Ai đang đăng nhập webmail bằng hộp thư như vậy sẽ phải đăng nhập lại sau lần đổi mật khẩu tiếp theo. (hitechcloudmail#92, hitechcloudadmin#323, HiTechCloud-Panel#1790)
• wp-cli chuyển sang /usr/local/lib/hitechcloud/wp-cli.phar. /usr/local/bin/wp và /usr/local/bin/wp-root nay là shell wrapper. Mỗi wrapper chạy phar bằng một PHP mà nó chỉ định: PHP mà bản cài đặt tìm thấy, nếu không có thì php trên PATH, nếu không nữa thì PHP mới nhất trong /usr/bin/phpX.Y hoặc của Remi. Chỉ wp-root thêm --allow-root. Bản cập nhật chuyển phar tìm thấy ở /usr/local/bin/wp (cùng tệp đó, không tải gì về) và xóa liên kết cũ /etc/hitechcloud/tools/wp-cli.phar. Nếu tệp ở một trong hai đường dẫn không phải của chúng tôi, bản cập nhật để nguyên và cảnh báo. Script nào truyền /usr/local/bin/wp cho php như một tệp phải dùng đường dẫn phar, hoặc gọi thẳng wp. (hitechcloudcli#474, #475, HiTechCloud-Panel#1789)

Mới​

• Đăng xuất khỏi mọi phiên webmail. Nút mới nằm trên thẻ Webmail ở trang hộp thư trong 2083, và trong menu của dòng hộp thư ở Emails > Accounts trong 2087. Nút này kết thúc mọi phiên webmail của hộp thư và ngắt các kết nối IMAP đang mở của nó. Mật khẩu không thay đổi. Mỗi lần dùng được ghi vào nhật ký hoạt động của tài khoản, hoặc vào thao tác người dùng của 2087, và vào /var/log/hitechcloud/admin/actions.log. (HiTechCloud-Panel#1790, hitechcloudadmin#323, translations#68)
• hitechcloudcli webmail end-sessions --mailbox <address> | --domain <domain> [--json] [--actor <account>] làm điều tương tự cho một hộp thư hoặc cho mọi người dùng webmail của một tên miền. Lệnh hỏi webmail qua lời gọi loopback có chữ ký của panel và không bao giờ chạm vào bộ nhớ đệm, nên hoạt động giống nhau trên bộ nhớ đệm đã bảo mật và chưa bảo mật. Với --actor, tài khoản phải sở hữu tên miền của hộp thư. Khi webmail chưa được cài, đang ngừng, hoặc cũ hơn endpoint, lệnh thoát với mã 1 và không kết thúc phiên nào. (hitechcloudcli#476, #479, hitechcloudmail#92)
• 2083 Domains > Logs hiển thị phần cuối nhật ký lỗi của website ngay trên trang: dòng mới nhất ở trên cùng, tối đa 500 dòng, đọc từ 512 KiB cuối của tệp. Trước đây nhật ký lỗi chỉ tải về được. (HiTechCloud-Panel#1755)

Đã sửa​

• Tắt bộ nhớ đệm đối tượng Redis của một website trong 2083 đăng xuất mọi người dùng 2083 trên máy chủ có bộ nhớ đệm chưa được bảo mật. wp redis disable của Redis Object Cache 3 và hook hủy kích hoạt của nó đều gửi FLUSHDB, làm trống luôn bộ nhớ đệm của mọi website khác và các khóa của webmail. Nay panel gỡ drop-in của chính nó và các thiết lập WP_REDIS_*, rồi hủy kích hoạt plugin mà không để plugin chạm tới bộ nhớ đệm. (HiTechCloud-Panel#1793)
• Nút Xóa bộ nhớ đệm (Purge) của bộ nhớ đệm đối tượng Redis trong 2083 không xóa gì. Nút này chạy wp redis flush, lệnh mà Redis Object Cache 3 không có. Với drop-in của panel, nay nút chạy hitechcloudcli objectcache wordpress-flush, chỉ xóa các khóa của website đó theo tiền tố riêng và không bao giờ gửi FLUSHDB. (hitechcloudcli#481, HiTechCloud-Panel#1793)
• wp thoát với mã 127 trên AlmaLinux và RHEL, với root và với mọi tài khoản. Các hệ thống này không có php trên PATH, và /usr/local/bin/wp chính là phar, bắt đầu bằng #!/usr/bin/env php. Nay nó chạy được trên mọi hệ thống được hỗ trợ (xem Ghi chú nâng cấp). Panel và CLI chạy thẳng phar. Chúng không bao giờ truyền cho PHP một tệp không phải chương trình PHP, vì PHP sẽ chỉ in ra shell script đó và thoát với mã 0. (hitechcloudcli#474, #475, HiTechCloud-Panel#1789)
• 2083 hiển thị alias và hạn mức cũ khi chúng được đổi bên ngoài 2083. Alias thêm hoặc xóa bằng email-setup alias, trong 2087 hoặc qua API không xuất hiện cho đến khi khách hàng đổi một alias trong 2083. Hạn mức đặt từ CLI giữ kích thước cũ đến một giờ. Cả hai danh sách nay theo đúng các tệp của máy chủ thư (postfix-virtual.cf, dovecot-quotas.cf). (HiTechCloud-Panel#1788)
• Việc kết thúc phiên webmail thất bại sau khi đổi mật khẩu bị bỏ qua không dấu vết trong 2083 và được ghi log không có nhãn cảnh báo trong mailsync. Nay đó là một dòng WARNING trong log, ở 2083, mailsync và 2087. (HiTechCloud-Panel#1790, hitechcloudadmin#323)
• Nút tải nhật ký lỗi trong 2083 không còn biến một tên miền không hợp lệ thành tệp tương đối .error.log trong thư mục làm việc của engine. Nay nó trả về 400. (HiTechCloud-Panel#1755)
• Quy trình phát hành thử lại việc cài đặt npm và pnpm sau lỗi mạng tạm thời. Một kết nối bị ngắt tới registry từng làm dừng cả bản phát hành sau khi mọi tệp nhị phân đã được build. (HiTechCloud-Panel#1787)
• Webmail: backend chuyển sang otplib 13 và archiver 8, nên trong các phụ thuộc không còn gói lỗi thời nào và không còn glob cũ. Xác thực hai bước giữ nguyên tham số của otplib 12, và mọi ứng dụng xác thực đã đăng ký vẫn dùng được. (hitechcloudmail#93)

Bảo mật​

• Bộ nhớ đệm dùng chung bị để mở trên hầu hết các lần cài mới (xem Ghi chú nâng cấp). Bất kỳ tài khoản hosting nào cũng đọc và ghi được các khóa phiên của panel, nên có thể đăng nhập 2083 dưới danh nghĩa tài khoản khác, cùng bộ nhớ đệm của mọi tài khoản khác và các khóa của webmail. (hitechcloudcli#482)
• Đổi mật khẩu không kết thúc các phiên webmail khác của hộp thư khi đổi từ 2083, 2087, portal hoặc mailsync. Webmail truy cập hộp thư bằng người dùng master, nên không có gì kiểm tra mật khẩu mới với một phiên đã đăng nhập. Đổi mật khẩu ngay trong webmail không bị ảnh hưởng. Xem Ghi chú nâng cấp. (hitechcloudmail#92, hitechcloudadmin#323, HiTechCloud-Panel#1790)
• Chứng chỉ gốc TLS: RUSTSEC-2026-0381 và RUSTSEC-2026-0382 (các chứng chỉ trung gian emSign bị thu hồi tin cậy). webpki-roots nay là 1.0.10 và rustls-webpki là 0.103.16 trong CLI, 2087, sentinel, engine và meet của panel. CLI phụ thuộc trực tiếp vào webpki-roots 1, và bộ kiểm tra uptime của sentinel chuyển sang ureq 3. Bước quét advisory có thêm một kiểm tra mức tối thiểu trên mọi lockfile nó kiểm tra, và thất bại với bất kỳ webpki-roots hoặc rustls-webpki nào thấp hơn các phiên bản đã sửa. Chỉ RUSTSEC-2026-0381 được bỏ qua, và chỉ cho webpki-roots 0.26.11, wrapper mà ureq 2 vẫn kéo vào CLI, vốn xuất lại 1.0.10. (hitechcloudcli#477, #478, hitechcloudadmin#324, sentinel#8, #9, HiTechCloud-Panel#1791)
• 2087: ô tìm kiếm ở thanh bên, nhật ký hoạt động trên trang người dùng, chi tiết chứng chỉ và các widget CPU, bộ nhớ, ổ đĩa và mạng trực tiếp nay hiển thị giá trị từ máy chủ dưới dạng văn bản, không phải markup. (hitechcloudadmin#325)
• Trang xem nhật ký lỗi của 2083 mở tệp nhật ký với O_NOFOLLOW, nên không bao giờ đi theo symlink hay bị treo trên FIFO. Nó escape mọi dòng, nên một <script> trong log hiển thị dưới dạng văn bản. (HiTechCloud-Panel#1755)
• Đăng nhập bộ nhớ đệm của webmail nay chỉ truy cập được Webmail:*. Các họ khóa dùng trước 4.1.4 đã bị gỡ, và webmail update áp dụng lại quy tắc này. (hitechcloudcli#480)

Hạn chế đã biết​

• Greylisting vẫn tắt trên Ubuntu 22.04 và Debian 12 khi bộ nhớ đệm được bảo mật, vì rspamd của chúng không đăng nhập được bằng tên người dùng (xem 4.1.4).