Lühidalt: PHP 8.1 ja vanemate jaoks PHP projekt ametlikke uuendusi enam ei anna. Pikaajaline tugi, nimetatud ka Extended Supportiks, tuleb Linuxi distributsioonidelt, kolmandate pakkujate hoidlatest või kommertsteenustelt nagu TuxCare ELS või Zend/HeroDevs. See võib uuenduseni jääva aja üle kanda, kui pakkuja kinnitab katvuse teie versioonile kirjalikult. Uuendust ega CMS-i ja oma koodi hooldust see aga ei asenda.
Miks küsimus just praegu lauale tuleb
- oktoobril 2026 ilmusid PHP2Shelli parandused ainult toetatud harudele 8.5, 8.4, 8.3 ja 8.2. Versioonidele 7.4, 8.0 ja 8.1 on PHP projekt andnud vaid minimaalsed lähtekoodi backportid, see tähendab lähtekoodi parandusi ilma valmis väljalasketa. Erialaajakirjanduse andmetel on mõjutatud peaaegu kõik versioonid kuni PHP 5.4-ni.
Kui suur on varu, näitab CybelAngeli hinnang: umbes 2,24 miljonit internetist kättesaadavat PHP hosti, millest CybelAngeli andmetel 59 protsenti töötab versioonidel, millele ametlikku paika ei tule. Paljude ettevõtete jaoks ei ole küsimus pikaajalisest toest sellega enam teoreetiline. Ja see kasvab: PHP 8.2 jõuab 31.12.2026 toetuse lõppu.
Mida vajab vana süsteem kohe, kirjeldab leht PHP 8.1 ja vanemad: mis nüüd kehtib. See artikkel aitab keskpika küsimusega: milline tee kannab uuenduseni ja mida see peab pakkuma?
PHP Extended Support: teed ülevaates
| Tee | Mida see pakub | Piirid |
|---|---|---|
| Distributsiooni pikaajaline hooldus | backportid pakettides, kuni distributsiooni versiooni toetatakse | ainult selle PHP versiooni jaoks, mille distributsioon kaasa toob |
| Kolmanda pakkuja hoidla | nt sury.org, teadete kohaselt ehitused 5.6-st 8.5-ni | mitte distributsiooni turvaarhiiv, usalduse küsimus |
| Kommertslik pikaajaline tugi | paigatud paketid aegunud versioonidele, nt TuxCare ELS, Zend/HeroDevs | laske katvus versiooni ja CVE kaupa kinnitada, jooksvad kulud |
| Ise ehitamine lähtekoodi backportidest | oma ehitused PHP projekti paranduste põhjal | töömahukas, vajalik iga turvaaugu korral uuesti |
Kommertspakkumiste kohta: TuxCare kirjeldab oma veebisaidil CVE parandusi aegunud versioonidele PHP 5.2-st 8.x-ni, mis tarnitakse olemasoleva paketihalduse kaudu, Windowsile ja levinud Linuxi distributsioonidele. Märkus samal lehel teatab PHP2Shelli paranduste kohta aegunud PHP versioonidele. cPaneli dokumentatsiooni kohaselt lubab TuxCare turvaaukude puhul alates CVSS 7 parandusi 14 päeva jooksul pärast avaldamist; cPaneli serverites viiakse selleks domeenid ea-php-lt alt-php-le. Zend/HeroDevsi kohta ei olnud meil PHP2Shelli katvuse kohta avaldust.
Kolmanda pakkuja tee kohta annab nõu artikkel sury.org hoidla.
Mida vajate pakkujalt kirjalikult
Pikaajaline tugi on usaldusteenus. Ostate lubaduse, et tulevased turvaaugud suletakse. Laske seetõttu enne otsust kirjalikult vastata:
- Milliseid PHP versioone, operatsioonisüsteeme ja paketinimesid täpselt kaetakse?
- Kas CVE-2026-109618 ja CVE-2026-109619 on teie versioonile suletud, millise paketiseisuga ja alates millal?
- Kuidas käsitletakse CVE-2026-115560 ja tulevasi järgteateid?
- Kas teie kasutatavad laiendused on sisse arvatud või ainult PHP tuum?
- Kuidas kontrollite ise, et paik on paigaldatud, näiteks paketi muudatuslogi kaudu?
- Kui kaua teie versiooni katvus kestab ja kuidas lõppu teatatakse?
- Mis juhtub paigaldatud pakettidega, kui leping lõpeb?
Vastused, mis viitavad üldiselt „kõigile turvaaukudele“, ei piisa. Auditeerijate, kindlustajate ja oma dokumentatsiooni jaoks loeb versiooni, paketi ja CVE konkreetne seos.
Piirid: mida pikaajaline tugi ei lahenda
Pikaajaline tugi hoiab PHP käituskeskkonna ajakohasena. Kõik selle kohal jääb teie ülesandeks. Ja just seal on vanade süsteemide puhul tavaliselt suurem probleem.
- Rakendus aegub edasi: CMS või pood, mis vajab PHP 8.1, ei ole sageli ise enam kasutusel praeguses versioonis.
- Teegid ja laiendused: Composeri paketid ja pluginad ei saa vanade PHP versioonide jaoks sageli enam uuendusi.
- Ei asenda taaskäivitust ja kontrolli: Ka paigatud paketid mõjuvad alles kõigi PHP protsesside taaskäivitamise järel ning need ei eemalda kahjulikku tarkvara, mis on varem sisse toodud.
- Tehniline võlg kasvab: Mida pikem sild, seda suurem hüpe hilisemal migratsioonil.
- Tõendamine muutub töömahukamaks: Auditeerijad, kliendid ja kindlustajad küsivad üha enam paigatud seisu kohta. Aegunud PHP versiooni kolmanda pakkuja paikadega saab tõendada, kuid see nõuab rohkem selgitusi kui toetatud versioon.
Millal on pikaajaline tugi siiski õige valik? Tüüpilised on kolm olukorda: erirakendus, mille tootja ei ole uuemaid PHP versioone veel lubanud; vana süsteem, mille asendamine on juba otsustatud ja mis peab töötama vaid veel mõne kuu; või suur koodibaas, mille ümberlülitamine tuleb hoolikalt planeerida. Kõigil kolmel juhul ostab pikaajaline tugi aega korrastatud lahenduseks. See ei ole lahendus süsteemidele, millega keegi enam tegeleda ei taha.
Kui vana süsteem töötas 17. ja 21. oktoobri vahel kaitseta internetis, selgitage esmalt, kas see on kompromiteeritud. Pikaajaline tugi juba nakatunud süsteemile ei kaitse midagi.
Väljumiskava kuulub juurde
Pikaajaline tugi on hea otsus siis, kui see lõpeb kuupäevaga. Määrake, mis ajaks peab rakendus töötama toetatud versioonil, kes migratsiooni eest vastutab ja millised vahe-eesmärgid kehtivad. Kui kaua PHP harusid ametlikult hooldatakse, selgitab PHP väljalasketsükkel.
Kas uuendus või backport teie süsteemile rohkem tasub, kaalub artikkel PHP uuendus või backport?.
Kuidas PHP SOS konkreetselt aitab?
- Olukorra hindamine: Kontrollime teie vanade süsteemide versiooni, paketiallikat ja paigatud seisu ning seda, kas neil on rünnaku jälgi.
- Pakkumiste kontroll: Võrdleme pikaajalise toe pakkuja kirjalikke lubadusi teie tegeliku varuga.
- Silla kindlustamine: Kuni uuenduseni seame php.net-i üleminekumeetmed ja piirame kättesaadavust.
- Väljumise elluviimine: PHP 8.1 ja vanemate migratsiooniga planeerime ja testime ülemineku toetatud versioonile.
Korduma kippuvad küsimused
Mis on PHP Extended Support?
Sellega mõeldakse pakkumisi, mis varustavad PHP versioone pärast ametlikku toetuse lõppu edasi turvaparandustega. Need võivad olla Linuxi distributsioonid, kolmandate pakkujate hoidlad või kommertsteenused nagu TuxCare ELS või Zend/HeroDevs.
Kas kommertslik pikaajaline tugi katab PHP2Shelli?
TuxCare märgib oma veebisaidil, et on aegunud PHP versioonidele PHP2Shelli parandused välja andnud. Oma konkreetse versiooni, paketi ja operatsioonisüsteemi kohta peaksite selle siiski kirjalikult kinnitada laskma ja muudatuslogist üle kontrollima.
Kas pikaajaline tugi on uuendamise alternatiiv?
Ainult ajutiselt. See hoiab PHP käituskeskkonna paigatuna, kuid mitte CMS-i, laiendusi ja omaenda koodi, mis on sageli samuti aegunud. Väljumiskuupäev kuulub seetõttu igasse pikaajalise toe otsusesse.
Mis juhtub, kui pikaajalise toe leping lõpeb?
cPaneli TuxCare'i dokumentatsiooni kohaselt töötavad paigaldatud paketid edasi, kuid ei saa enam uusi turvauuendusi. Süsteem on siis taas samas olukorras kui enne, ainult hiljem.
Kas teema kehtib ka PHP 8.2 kohta?
Jah, peagi. PHP 8.2 saab versiooniga 8.2.35 veel PHP2Shelli parandust, kuid jõuab 31.12.2026 toetuse lõppu. Kes käitab 8.2, peaks ülemineku nüüd ette valmistama.