HestiaCP

В прошлом разборе от августа 2026 стояла 1.9.9. Сейчас в ветке release - 1.10.5 от 14 сентября 2026. Установка и первый экран не менялись: тот же hst-install.sh, те же флаги, панель на 8083. Обновились версии по умолчанию: PHP-FPM 8.5 вместо 8.3, MariaDB 11.8 вместо 11.4.

В 1.10.0 закрыли большую серию уязвимостей панели, в 1.10.4-1.10.5 - еще четыре. Критическая CVE-2026-108390 (повышение прав до root) была только в 1.10.4 и закрыта в 1.10.5 - если ставили 1.10.4, обновитесь. Подробности и версии - в разделе об уязвимостях.

Отдельная история - PHP2Shell в самом PHP. Исправление вышло 21 октября 2026, уже после релиза панели: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Установщик HestiaCP ставит PHP сам, поэтому обновлять нужно пакеты, а не только панель. Инструкция ниже это делает и проверяет версию.

Список поддерживаемых ОС тоже обновился: Debian 12 и 13, Ubuntu 22.04, 24.04 и 26.04. Debian 11 больше не поддерживается.

HestiaCP - веб-панель, которая берет на себя рутину администрирования сервера под веб-хостинг. Через браузер она заводит сайты и виртуальные хосты, DNS-зоны, почтовые ящики, базы и FTP-аккаунты, выпускает Let's Encrypt, дает файловый менеджер и бэкапы. Плюс установщик приложений (WordPress и другие CMS), cron и пользователи с уровнями Admin / User. Все, что иначе делается конфигами по SSH, здесь - формы и кнопки.

В отличие от разборов в докере, HestiaCP ставится не контейнером, а автоинсталлятором прямо на чистую ОС (Debian или Ubuntu). Одна команда собирает веб-сервер и поднимает панель на 8083 по HTTPS. Это бесплатная замена cPanel, Plesk и ISPmanager и сосед ISPConfig.

HestiaCP вырос из VestaCP - популярной панели, которая заглохла и имела инциденты безопасности. Сообщество продолжило проект: свежие ОС, регулярные релизы, современный интерфейс и REST API. Вендора-компании нет, софт бесплатный (GPL-3.0), проект живет на донатах.

Для российского читателя это прямой заход: cPanel и Plesk ушли с рынка РФ и стоят валюту, ISPmanager - отечественный, но платный. HestiaCP закрывает ту же задачу за ноль рублей, а обновления из РФ доступны.

HestiaCP - управляющая надстройка над стандартными сервисами Linux. Веб-сервер - nginx как фронт-прокси плюс Apache2 как бэкенд, база - MariaDB (или MySQL 8 / PostgreSQL), DNS - BIND9, FTP - VSFTPD, защита от перебора - Fail2Ban. Опционально включаются почта (Exim + Dovecot), ClamAV + SpamAssassin, MultiPHP и REST API.

Мы ставили лин-профиль без почты и антивируса: nginx + Apache + PHP-FPM, BIND9, MariaDB, VSFTPD, iptables + Fail2Ban и API. Exim/Dovecot и особенно ClamAV - самые прожорливые, а большинству сценариев почта на том же сервере не нужна.

Сайты панель создает как обычные vhost-ы nginx/apache: уйдете с HestiaCP - они переносятся как есть.

Нужен чистый сервер на Ubuntu 24.04 и имя, которое уже указывает A-записью на его IP: по этому имени панель выпустит сертификат. Команды выполняются в root-сессии. В примерах замените ваш-домен на свое имя.

1. Подготовьте имя сервера и пакеты

   Задайте hostname и добавьте его в /etc/hosts, чтобы установщик и Let's Encrypt видели одно имя.

   hostnamectl set-hostname ваш-домен
   printf '%s %s\n' "$(hostname -I | awk '{print $1}')" "ваш-домен" >> /etc/hosts
   apt-get update
   apt-get install -y wget curl ca-certificates

2. Снимите конфликт группы admin

   На некоторых образах уже есть пустая группа admin - установщик примет ее за занятое имя. Команда удаляет группу, если она есть.

   getent group admin >/dev/null && groupdel admin || true

3. Скачайте установщик 1.10.5

   Тег в адресе закрепляет версию: без него ветка release принесет следующую. На дату проверки это 1.10.5.

   wget -qO /root/hst-install.sh https://raw.githubusercontent.com/hestiacp/hestiacp/1.10.5/install/hst-install.sh

4. Запустите установку лин-профиля

   Флаги отключают почту, антивирус и антиспам, оставляя nginx + Apache, PHP-FPM, MariaDB, BIND, VSFTPD, фаервол и API. Пароль задайте свой. В конце установщик попросит перезагрузить сервер; команда reboot ниже это делает и обрывает SSH - это нормально.

   ADMIN_PW='ChangeMe-please-123'
   bash /root/hst-install.sh --interactive no --force \
     --apache yes --phpfpm yes --multiphp no --named yes --mysql yes \
     --vsftpd yes --proftpd no --exim no --dovecot no --clamav no --spamassassin no \
     --iptables yes --fail2ban yes --api yes --lang ru \
     --hostname "ваш-домен" --email "admin@ваш-домен" \
     --username admin --password "$ADMIN_PW" < /dev/null
   reboot

5. Обновите PHP и проверьте версии

   Это закрывает PHP2Shell: нужны 8.3.36 или 8.5.12 и выше, на Ubuntu 24.04 установщик ставит ветку 8.5. Команда обновляет пакеты панели и сайтов и перезапускает службы.

   apt-get update
   apt-get -y install --only-upgrade hestia-php php8.5-fpm php8.5-cli
   php -v
   /usr/local/hestia/php/bin/php -v
   systemctl restart php8.5-fpm hestia

6. Выпустите сертификат и проверьте панель

   Установщик уже пытается выпустить Let's Encrypt на hostname. Команда доводит это до конца; ответ HTTP/2 302 означает, что панель жива и ведет на вход.

   /usr/local/hestia/bin/v-add-letsencrypt-host
   curl -sI "https://ваш-домен:8083/" | head -1

7. Войдите и заведите первый сайт

   Откройте https://ваш-домен:8083. Логин admin, пароль - ADMIN_PW из шага 4. Вход двухшаговый: сначала имя, затем пароль. Дальше раздел «Веб» → «Добавить домен»: укажите домен сайта, при необходимости включите DNS и выпустите SSL.

Проверили не только вход: через панель и CLI завели два веб-домена (nginx + apache подняли vhost-ы), DNS-зону с 15 записями на BIND9 и базу MariaDB - все появилось в списках и реально обслуживается.

В простое (лин-профиль без почты) HestiaCP занимает ~595 МБ RAM из 4 ГБ и 4 ГБ на диске (8% от 48 ГБ). Цифры сняты на 1.9.9; на 1.10.5 после установки мы увидели ~608 МБ и 3,5 ГБ - те же значения в пределах погрешности, установка заняла ~20 минут. Для сравнения: чистая Ubuntu 24.04 до установки ела 425 МБ - то есть весь стек панели добавил всего около 170 МБ поверх ОС. Основной едок памяти - MariaDB (~143 МБ).

Это заметно легче ISPConfig (~820 МБ на том же профиле). Тариф CPU2-RAM4-DISK50 (500 руб/мес) держит несколько сайтов с запасом; включите почту с ClamAV - аппетит вырастет в разы.

Панель слушает порт 8083 по HTTPS: https://<адрес-сервера>:8083. Логин admin, пароль задаете при установке флагом (в карточке маркетплейса - пароль сервера). Пароль не генерится в лог, вы знаете его сразу.

Порт 8083 - единая точка входа ко всему серверу: закройте его фаерволом или VPN. Для делегирования заводите пользователей с ролью User - у них ограниченный доступ.

Инструкция ставит HestiaCP 1.10.5 и исправленные пакеты PHP. Если панель уже работает, обновите и ее, и PHP: apt-get update && apt-get upgrade -y, затем сверьте php -v и /usr/local/hestia/php/bin/php -v с таблицей ниже.

Critical и high, закрытые в 1.9.4-1.9.9 (RCE через терминал и cron, SQL-инъекция, XSS), касаются только версий старше 1.9.9. Полный список - в бюллетенях GitHub.

Панель хранит архивы в /backup. Команда снимает копию admin со всеми сайтами, базами и DNS. Каталог содержит секреты - перенесите его на отдельное хранилище.

/usr/local/hestia/bin/v-backup-user admin
ls -lh /backup/admin.*.tar

Восстановление берет свежий архив из /backup и заменяет данные пользователя.

ARCHIVE=$(basename "$(ls -t /backup/admin.*.tar | head -1)")
/usr/local/hestia/bin/v-restore-user admin "$ARCHIVE"

Обновление панели и пакетов PHP - две команды. После них проверьте версии и состояние служб.

apt-get update && apt-get upgrade -y
/usr/local/hestia/bin/v-update-sys-hestia-all
php -v; /usr/local/hestia/php/bin/php -v
/usr/local/hestia/bin/v-list-sys-services

• ISPConfig - бесплатный сосед: шире по возможностям, но UI аскетичнее и порог входа выше. HestiaCP проще и легче на старте.
• ISPmanager - платная российская панель: полированный UI и коммерческая поддержка, если нужен SLA.
• LEMP/LAMP по SSH - когда сайтов один-два: голый стек без панели дешевле по ресурсам и без лишнего слоя управления.
• Coolify / CapRover - другой класс задач: деплой приложений через git push, а не классический веб-хостинг сайтов.