ondrej ใน ppa:ondrej/php คือ Ondřej Surý
ถ้าเคยตั้งเซิร์ฟเวอร์ Laravel บน Ubuntu เอง คำสั่งแรก ๆ ที่พิมพ์ตามคู่มือก็มักเป็น sudo add-apt-repository ppa:ondrej/php ชื่อนี้กลับมาให้เห็นอีกครั้งช่วง PHP2Shell ตอนที่ต้องเช็คว่าแพตช์มาถึง PPA นี้หรือยัง
ondrej คือ Ondřej Surý นักพัฒนาชาวเช็กที่ทำงาน open source มากว่า 25 ปี หน้าแรกของ sury.org เขียนไว้ว่าเขาเป็น Debian Developer มาตั้งแต่ปี 2000 และทำ package ของ PHP ให้ Debian มาตั้งแต่ยุค PHP 5 เขาบอกด้วยว่า package ของ PHP ที่อยู่ใน Debian และ Ubuntu เองเป็นงานของเขา หรือไม่ก็ต่อยอดจากงานของเขา
ทีนี้ Ubuntu เอา package หลายตัวมาจาก Debian อีกที PHP ที่เราลงด้วย apt install php บน Ubuntu ตรง ๆ โดยไม่เพิ่ม PPA อะไรเลย ก็มีที่มาย้อนไปถึงงานของเขาเหมือนกัน ทุกวันนี้ชื่อเขายังอยู่ในรายชื่อผู้ดูแล package อย่าง php8.6 และ dh-php ของทีม Debian PHP Maintainers
งานประจำของเขาคือ DNS
PHP ไม่ใช่งานประจำของเขา โปรไฟล์ที่ ISC เขียนไว้ว่าเขาเป็น Director of DNS Engineering ของ ISC (Internet Systems Consortium) ตั้งแต่เดือนกันยายน 2017 ดูแลทีมที่พัฒนา BIND 9 DNS server ที่ใช้กันแพร่หลายบนอินเทอร์เน็ต
ก่อนหน้านั้นเขาอยู่ที่ CZ.NIC ผู้ดูแลโดเมน .cz ของเช็ก ตั้ง CZ.NIC Labs และเริ่มโปรเจกต์ Knot DNS กับ Knot Resolver นอกจาก PHP เขายังดูแล package อื่นใน Debian อีกหลายตัว เช่น MariaDB, Berkeley DB และ libjpeg-turbo ส่วน PPA ของ PHP เขาเขียนไว้ในหน้า FAQ ว่าทำในเวลาว่างทั้งหมด
PPA ของเขาให้เราเลือกเวอร์ชัน PHP ได้เอง
Ubuntu แต่ละรุ่นมาพร้อม PHP เวอร์ชันเดียว และจะอยู่เวอร์ชันนั้นไปตลอดอายุของรุ่น เช่น Ubuntu 22.04 มากับ PHP 8.1 และ 24.04 มากับ PHP 8.3 ถ้าเราอยากใช้ Laravel เวอร์ชันใหม่ที่ต้องการ PHP 8.4 บน Ubuntu 24.04 ทางที่ใช้กันมาตลอดคือเพิ่ม PPA ของเขา
PPA (Personal Package Archive) คือ repository ที่คนทั่วไปเปิดบน Launchpad ของ Canonical เพื่อแจก package ให้ Ubuntu เพิ่ม PPA แล้ว apt จะเห็น PHP หลายเวอร์ชัน และลงคู่กันในเครื่องเดียวได้ อย่าง php8.3-fpm กับ php8.4-fpm รันพร้อมกันได้ เว็บเก่ากับเว็บใหม่จึงอยู่เครื่องเดียวกันได้ ส่วนฝั่ง Debian เขาแจกผ่าน packages.sury.org ซึ่งทำงานแบบเดียวกัน
package ที่ลงจากช่องทางนี้มี deb.sury.org ต่อท้ายเลขเวอร์ชัน ดูได้จาก apt-cache policy php8.4-fpm วิธีแยกว่าเครื่องเราได้ PHP มาจากช่องทางไหน และแต่ละทางอัปเดตต่างกันยังไง อยู่ในโพสต์ PHP2Shell ช่องโหว่ RCE ใน PHP core
ช่วงก่อนปี 2017 ยังมี Dotdeb อีกเจ้าที่แจก PHP ใหม่ให้ Debian แต่ตอน PHP 7.1 ออก คนทำ Dotdeb ตัดสินใจไม่ทำต่อ เพราะเห็นว่าทำซ้ำกับงานของ Ondřej ไปก็ไม่มีประโยชน์ แล้วชี้คนใช้ไปที่ deb.sury.org แทน
PPA นี้เป็นงานส่วนตัว ไม่ใช่ช่องทางของ PHP หรือ Ubuntu
แม้คนใช้จะเยอะ PPA นี้ก็ยังเป็นงานของคนคนหนึ่ง ไม่มีใครรับประกันให้
- php.net ไม่ได้แนะนำ PPA นี้ หน้าดาวน์โหลดของ php.net สำหรับ Debian และ Ubuntu บอกให้ลง
phpจาก distro ตรง ๆ และเตือนว่า package ของ distro มีแพตช์ที่คนทำ package ใส่เพิ่ม ซึ่งทีม PHP คุมไม่ได้ - Launchpad ติดป้ายว่า untrusted ตอนเพิ่ม PPA หน้า Launchpad เตือนว่ากำลังลง package ที่ไม่มีใครรับรองจาก PPA ที่ไม่ใช่ของ Ubuntu เอง
- รองรับเฉพาะรุ่นที่ยังมี support FAQ ของ deb.sury.org บอกว่ารองรับ Ubuntu LTS ที่ยังอยู่ใน standard support กับ Debian stable, oldstable และ LTS เท่านั้น Ubuntu 20.04 ลงไปไม่รองรับแล้ว package ของรุ่นที่หมดอายุจะถูกลบออกไม่นานหลังจากนั้น และเขาไม่เก็บสำรองไว้
- ไม่มี support ให้ถาม เขาเขียนชัดว่าไม่ช่วยตอบคำถามการใช้งาน ให้ไปถามใน Ask Ubuntu หรือ Server Fault และ issue tracker ย้ายไปอยู่บน Codeberg แล้ว
- เก็บไว้แค่เวอร์ชันล่าสุด อัปเดตแล้วมีปัญหาจะสั่ง apt ถอยกลับไปเวอร์ชันเดิมไม่ได้ และ unattended-upgrades ของ Ubuntu ไม่อัปเดต package จาก PPA ให้เอง
ข้อสุดท้ายสำคัญที่สุดตอนมีช่องโหว่อย่าง PHP2Shell เพราะเครื่องที่ลง PHP จาก PPA จะไม่ได้แพตช์จนกว่าเราจะสั่งอัปเดตเอง ครั้งนั้น php8.4 ใน PPA ขึ้นเป็น 8.4.27 ทั้งบน 22.04 และ 24.04 แล้ว ส่วนที่เหลือเป็นหน้าที่ของเราที่ต้องรันอัปเดตแล้ว restart PHP-FPM
Laravel เป็นหนึ่งใน sponsor ของงานนี้
ในโพสต์เรื่อง Chainguard ปล่อยแพตช์ก่อนหมด embargo คนที่รับภาระเมื่อแผนเปลี่ยนกะทันหันคือผู้ดูแลกับคนทำ package อย่างเขา ซึ่งทำงานนี้ในเวลาว่าง ค่าเครื่อง ค่า hosting ของ repository และเวลาของเขาเองมาจากเงินสนับสนุน
หน้า sury.org มีรายชื่อ sponsor ที่ให้เกิน 100 ดอลลาร์ต่อเดือน ชื่อแรกในรายการคือ Laravel ตามด้วยบริษัท hosting และ CDN อย่าง Mythic Beasts และ Bunny.net ส่วนคนทั่วไปหรือบริษัทเล็กสนับสนุนได้ผ่าน GitHub Sponsors, OpenCollective หรือ Patreon เริ่มที่ 1 ดอลลาร์ต่อเดือน
ถ้าบริษัทยังต้องรัน PHP เวอร์ชันเก่าบน Ubuntu หรือ Debian ที่หมด support แล้ว เขาแนะนำ PHP LTS ของ Freexian ที่ทำร่วมกับเขา ได้ security update ต่อหลายปี ราคาเริ่มที่ 1,200 ยูโรต่อปีสำหรับไม่เกิน 30 เครื่อง (ราคา ณ 1 พ.ย. 2568) แพงสำหรับ SME ส่วนใหญ่ แต่ก็ถูกกว่าปล่อยเว็บที่เก็บข้อมูลลูกค้าไว้บน PHP ที่ไม่มีใครแพตช์ให้แล้ว
ถ้าเว็บของบริษัทพึ่ง PPA นี้อยู่ ลองดูหน้า sponsor ของเขาได้ครับ เดือนละไม่กี่ดอลลาร์ก็ช่วยค่าเครื่องและเวลาที่เขาใช้ทำ PHP ให้เราได้
