MikoPBX 2026.6.34

Изменения по сравнению с MikoPBX 2026.5.6

Главное в выпуске MikoPBX 2026.6.34 - исправления безопасности. PHP обновлён до версии 8.4.27, что закрывает две критические уязвимости: CVE-2026-109618 и CVE-2026-109619. При определённых условиях они позволяют удалённо выполнить код без авторизации.

Также улучшены запись разговоров и воспроизведение MP3, переадресация сотрудников стала надёжнее, добавлена поддержка облака Cloud.ru Evolution.

Перед обновлением сделайте резервную копию. С версии 2026.5.6 обновляйтесь ручной загрузкой образа IMG: кнопка «Скачать» в этой версии не работает. Для станций, установленных до версии 2026.1.1, используйте образ .img.

Безопасность

Обновлены PHP до версии 8.4.27 (CVE-2026-109618, CVE-2026-109619), nginx и OpenSSH.

Встроенная защита от атак проверяет тело запроса целиком, включая запросы DELETE. Проверка выполняется после блокировок и ограничения частоты запросов и не создаёт лишней нагрузки при подборе. Запросы к REST API больше 4 МБ отклоняются с понятной ошибкой.

Служебные ссылки на просмотр записей разговоров больше не доступны из сети, а скачивание архивов системных журналов ограничено только сформированными архивами.

Записи разговоров и история вызовов

Если перевод звонка не удался из-за собственных правил диалплана станции и клиент вернулся к оператору, запись разговора продолжается. Ранее разговор после возврата не записывался.

Перевод, принятый через перехват *8, теперь сохраняется в истории как отвеченный вызов с собственной записью. Ранее такой разговор отображался как пропущенный, а файл записи оставался на диске без привязки к звонку.

Исправлена обработка неравномерно поступающего аудио, из-за которой в записях могли появляться заикания, щелчки и «растянутые» фрагменты. Исправлено декодирование MP3 формата MPEG-2.5, из-за которого приветствия IVR могли воспроизводиться с искажениями.

При прослушивании и скачивании записей в форматах MP3, WAV и OGG сконвертированный файл кешируется. Повторное воспроизведение и перемотка больше не запускают конвертацию заново, а временные копии не накапливаются на диске: кеш очищается автоматически.

Переадресация и SIP

Изменения переадресации сотрудников теперь всегда применяются после сохранения. Ранее, если телефония в этот момент перезапускалась или настройки SIP не удалось применить, новая переадресация могла не заработать без каких-либо сообщений об ошибке.

Если собственный диалплан читает переадресацию из базы Asterisk (DB(FW...)), его нужно доработать: значения теперь хранятся в глобальных переменных FW_<номер>, FW_BUSY_<номер>, FW_UNAV_<номер> и FW_TIME_<номер>.

Нельзя сохранить двух провайдеров с входящей регистрацией и одинаковым логином, а также провайдера, логин которого совпадает с внутренним номером. Ранее такая ошибка останавливала работу всех линий и сотрудников. Ручные параметры set_var в дополнительных настройках снова применяются, в том числе несколько строк подряд.

Транспорт TLS в карточке сотрудника объявлен устаревшим и не предлагается для новых сотрудников. Для подключения по TLS укажите в SIP-клиенте имя пользователя в формате номер-TLS, например 105-TLS, с тем же паролем. Сотрудники, у которых TLS уже выбран, получают предупреждение в карточке и в уведомлениях.

Внешний адрес станции для NAT больше не подставляется из имени хоста. Ранее это могло нарушить работу звонков за NAT и подключений по TLS. Ссылка в предупреждении о слабом SIP-пароле снова открывает карточку нужного сотрудника.

Облако, хранилище и обновление

Добавлена автоматическая настройка станции в облаке Cloud.ru Evolution, включая SSH-ключи из параметров виртуальной машины.

Для подкачки используется сжатая область в оперативной памяти. Файл подкачки на диске задействуется только при её заполнении, что снижает износ флеш-накопителей.

Восстановлено скачивание обновления из веб-интерфейса для следующих обновлений: ранее нажатие кнопки не запускало загрузку. Восстановлена установка с LiveCD: установщик больше не завершается сам, не дождавшись выбора диска и подтверждения.

Системный журнал больше не теряет записи раньше времени: хранятся девять архивных частей вместо двух. Ход сброса к заводским настройкам теперь сохраняется в журнале, что упрощает разбор неудачного сброса.

Для разработчиков

REST API модулей возвращает корректные HTTP-коды ошибок вместо 200 при result: false. Пустые JSON-объекты в ответах больше не превращаются в массивы. При превышении времени ожидания ответ имеет код 504, при перегрузке очереди - 503.

Загрузка файлов частями отправляет блоки не больше 10 МБ. Предупреждение об обновлениях модулей снова появляется после очистки кеша. Обновление времени последнего использования API-ключа работает и на установках с файловой системой только для чтения, например в LXC.