Kort sagt: Til PHP 8.1 og ældre findes der ingen officielle opdateringer fra PHP-projektet længere. Langtidssupport, også kaldet extended support, kommer fra Linux-distributioner, repositories fra tredjeparter eller kommercielle tjenester som TuxCare ELS eller Zend/HeroDevs. Den kan bygge bro frem til opgraderingen, hvis udbyderen skriftligt bekræfter dækningen for jeres version. Men den erstatter hverken opgraderingen eller vedligeholdelsen af CMS og egen kode.
Hvorfor spørgsmålet kommer på bordet netop nu
Den 21. oktober 2026 udkom PHP2Shell-rettelserne kun til de understøttede grene 8.5, 8.4, 8.3 og 8.2. Til 7.4, 8.0 og 8.1 har PHP-projektet kun stillet minimale kilde-backports til rådighed, altså rettelser i kildekoden uden en færdig release. Ifølge fagpressen er stort set alle versioner til og med PHP 5.4 berørt.
Hvor stor bestanden er, viser en opgørelse fra CybelAngel: Omkring 2,24 millioner PHP-hosts, der kan nås fra internettet, heraf ifølge CybelAngel 59 procent på versioner uden en kommende officiel rettelse. For mange virksomheder er spørgsmålet om langtidssupport dermed ikke længere teoretisk. Og det bliver større: PHP 8.2 når den 31.12.2026 slutningen af understøttelsen.
Hvad et ældre system har brug for med det samme, beskriver PHP 8.1 og ældre: Hvad der gælder nu. Dette indlæg hjælper med det mellemlange spørgsmål: Hvilken vej bærer frem til opgraderingen, og hvad skal den kunne?
PHP Extended Support: vejene i overblik
| Vej | Hvad den leverer | Grænser |
|---|---|---|
| Distributionens langtidspleje | Backports i pakkerne, så længe distributionsversionen understøttes | kun for den PHP-version, som distributionen medbringer |
| Tredjeparts-repository | f.eks. sury.org, ifølge rapporter med builds fra 5.6 til 8.5 | ikke distributionens sikkerhedsarkiv, tillidsspørgsmål |
| Kommerciel langtidssupport | patchede pakker til udløbne versioner, f.eks. TuxCare ELS, Zend/HeroDevs | lad dækningen bekræfte pr. version og CVE, løbende omkostninger |
| Selvbygning ud fra kilde-backports | egne builds ud fra PHP-projektets rettelser | omstændeligt, nødvendigt på ny ved hver sårbarhed |
Om de kommercielle tilbud: TuxCare beskriver på sit website CVE-rettelser til udløbne versioner fra PHP 5.2 til 8.x, leveret via den eksisterende pakkehåndtering, til Windows og gængse Linux-distributioner. En henvisning på samme side melder PHP2Shell-rettelser til udløbne PHP-versioner. Ifølge cPanel-dokumentationen lover TuxCare for sårbarheder fra CVSS 7 rettelser inden for 14 dage efter offentliggørelsen; på cPanel-servere omstilles domæner hertil fra ea-php til alt-php. Om Zend/HeroDevs forelå der os ingen udtalelse om PHP2Shell-dækningen.
Henvisninger til tredjepartsvejen giver indlægget sury.org-repositoryet.
Hvad I skal have skriftligt fra udbyderen
Langtidssupport er en tillidsydelse. I køber løftet om, at fremtidige sårbarheder lukkes. Lad jer derfor før beslutningen besvare skriftligt:
- Hvilke PHP-versioner, operativsystemer og pakkenavne er nøjagtigt dækket?
- Er CVE-2026-109618 og CVE-2026-109619 lukket for jeres version, med hvilken pakkestatus og siden hvornår?
- Hvordan håndteres CVE-2026-115560 og kommende opfølgende meddelelser?
- Er de udvidelser, I bruger, indeholdt, eller kun PHP-kernen?
- Hvordan kontrollerer I selv, at en patch er indspillet, f.eks. via pakkens changelog?
- Hvor længe løber dækningen for jeres version, og hvordan varsles et ophør?
- Hvad sker der med de installerede pakker, når aftalen udløber?
Svar, der kun generelt henviser til „alle sikkerhedshuller“, er ikke tilstrækkelige. For revisorer, forsikringsselskaber og jeres egen dokumentation tæller den konkrete tilknytning af version, pakke og CVE.
Grænserne: Hvad langtidssupport ikke løser
Langtidssupport holder PHP-kørselsmiljøet ajour. Alt derover er fortsat jeres opgave. Og netop dér ligger ved ældre systemer som regel det største problem.
- Applikationen forældes videre: Et CMS eller en shop, der kræver PHP 8.1, er ofte selv ikke længere i brug i den aktuelle version.
- Biblioteker og udvidelser: Composer-pakker og plugins får ofte ikke længere opdateringer til gamle PHP-versioner.
- Ingen erstatning for genstart og kontrol: Også patchede pakker virker først efter genstarten af alle PHP-processer, og de fjerner ikke malware, der er smuglet ind før.
- Teknisk gæld vokser: Jo længere broen, desto større springet ved den senere migrering.
- Dokumentation bliver mere omstændelig: Revisorer, kunder og forsikringsselskaber spørger i stigende grad om patchstatus. En udløbet PHP-version med patches fra tredjepart kan dokumenteres, men kræver mere forklaring end en understøttet version.
Hvornår er langtidssupport alligevel det rette valg? Typisk er tre situationer: en fagapplikation, hvis producent endnu ikke frigiver nyere PHP-versioner; et ældre system, hvis afløsning allerede er besluttet, og som kun skal køre i få måneder endnu; eller en stor kodebase, hvis omstilling skal planlægges omhyggeligt. I alle tre tilfælde køber langtidssupport tid til en ordnet løsning. Den er ikke nogen løsning for systemer, som ingen længere vil tage sig af.
Kørte et ældre system ubeskyttet på internettet mellem den 17. og den 21. oktober, så afklar først, om det er kompromitteret. Langtidssupport til et allerede angrebet system beskytter intet.
En udgangsplan hører med
Langtidssupport er en god beslutning, når den ender med en dato. Fastlæg, inden hvornår applikationen skal køre på en understøttet version, hvem der er ansvarlig for migreringen, og hvilke delmål der gælder. Hvor længe PHP-grene officielt vedligeholdes, forklarer PHP's release-cyklus.
Om en opgradering eller en backport er mest umagen værd for jeres system, afvejer indlægget PHP-opgradering eller backport?.
Hvordan hjælper PHP SOS konkret?
- Vurdér situationen: Vi kontrollerer version, pakkekilde og patchstatus for jeres ældre systemer og om de viser spor af et angreb.
- Gennemgå tilbud: Vi afstemmer de skriftlige tilsagn fra en langtidssupportudbyder med jeres faktiske bestand.
- Sikr broen: Frem til opgraderingen sætter vi php.net's overgangsforanstaltninger og begrænser tilgængeligheden.
- Gennemfør udgangen: Med migreringen fra PHP 8.1 og ældre planlægger og tester vi skiftet til en understøttet version.
Ofte stillede spørgsmål
Hvad er PHP Extended Support?
Der menes tilbud, der fortsat forsyner PHP-versioner med sikkerhedsrettelser efter den officielle supports udløb. Det kan være Linux-distributioner, repositories fra tredjeparter eller kommercielle tjenester som TuxCare ELS eller Zend/HeroDevs.
Dækker kommerciel langtidssupport PHP2Shell?
TuxCare oplyser på sit website at have stillet PHP2Shell-rettelser til rådighed for udløbne PHP-versioner. For jeres konkrete version, pakke og operativsystem bør I alligevel lade det bekræfte skriftligt og efterprøve i changelog.
Er langtidssupport et alternativ til opgradering?
Kun på tid. Den holder PHP-kørselsmiljøet patchet, men ikke CMS, udvidelser og egen kode, som ofte også er forældede. En udgangsdato hører derfor med i enhver beslutning om langtidssupport.
Hvad sker der, når langtidssupportaftalen udløber?
Ifølge cPanel-dokumentationen om TuxCare kører de installerede pakker videre, men får ikke længere nye sikkerhedsopdateringer. Systemet er så igen i samme situation som før, bare senere.
Gælder emnet også for PHP 8.2?
Ja, snart. PHP 8.2 får med 8.2.35 endnu PHP2Shell-rettelsen, men når den 31.12.2026 slutningen af understøttelsen. Den, der driver 8.2, bør planlægge skiftet nu.