Lühidalt: Kas PHP-uuendus või backport on õige valik, sõltub sellest, kui kaua teie süsteem veel töötama peab ja kui hästi on backport tõendatud. Teie oma distributsiooni backport toetatud operatsioonisüsteemil on täisväärtuslik tee. Lähtekoodi backportid, kolmanda poole allikad ja kommertspõhine pikaajaline tugi PHP 8.1 ja vanema jaoks on sillad aegumistähtajaga. Pikas perspektiivis aitab ainult üleminek PHP versioonile, mida PHP projekt veel ametlikult toetab.
Miks küsimus pärast PHP2Shelli pakiliseks läheb
21.10.2026 parandas PHP projekt PHP2Shelli versioonides 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemale ametlikke väljalasked enam ei ole, on ainult minimaalsed lähtekoodi tagasiportimised versioonidele 7.4, 8.0 ja 8.1. Erialaajakirjanduse andmetel on mõjutatud peaaegu kõik versioonid kuni PHP 5.4-ni tagasi.
Seega seisavad paljud vanasüsteemide käitajad sama küsimuse ees: kas piisab turvaauku kuidagi lappida või peab nüüd tulema uuendus, mida on aastaid edasi lükatud? Mida uuendus praktikas tähendab, kirjeldab meie pakkumine PHP 8.1 ja vanema migratsiooniks. Mis kehtib ilma ametliku uuenduseta, selgitab artikkel PHP 8.1 ja vanem: mis nüüd kehtib. See artikkel aitab kaaluda nende vahel.
Millised backportide liigid on olemas
„Backport“ on koondmõiste. Mõeldud on alati seda, et parandus võetakse uuemast versioonist üle vanemasse. Kes seda teeb ja kui hästi see kontrollitud on, erineb aga tugevalt.
- Distributsiooni backport: Debian, Ubuntu, Red Hat ja teised võtavad turvaparandused üle oma toetatud väljaannete PHP pakettidesse. Versiooninumber jääb seejuures sageli samaks; aruannete kohaselt näitab näiteks Ubuntu 24.04 pärast uuendust edasi 8.3.6. Parandust tõendatakse paketi muudatuslogi ja distributsiooni turvateadete kaudu.
- Kolmanda poole allikas: Ondřej Surý hoidla sury.org on aruannete kohaselt pakkunud ehitusi kõigile harudele 5.6 kuni 8.5. See ei ole Debiani turvaarhiiv. Üksikasjad leiate artiklist sury.org hoidla.
- PHP projekti lähtekoodi backport: Versioonidele 7.4, 8.0 ja 8.1 on minimaalsed paigad lähtekoodis, kuid valmis väljalasked puuduvad. Kes neid kasutab, peab PHP ise ehitama, testima ja edaspidi ise hooldama.
- Kommertspõhine pikaajaline tugi: Pakkujad nagu TuxCare ELS või Zend/HeroDevs pakuvad vanade versioonide hooldust. Kas ja millest alates nad PHP2Shelli katavad, tuleb kirjalikult kinnitada; teadaolevates allikates see tõendatud ei olnud. Lähemalt artiklis Vanade PHP versioonide pikaajaline tugi.
PHP-uuendus või backport: võrdlus
| Kriteerium | Uuendus toetatud versioonile | Backport (sõltuvalt liigist) |
|---|---|---|
| Kaitse PHP2Shelli vastu | Jah, versioonidega 8.2.35, 8.3.36, 8.4.27 või 8.5.12 | Jah, kui täielik ja tõendatud |
| Tulevased turvauuendused | Ametlikult kuni versiooni toe lõpuni | Ainult seni, kuni vastav pakkuja hooldab |
| Tõend | Versiooninumber pluss taaskäivitus | Paketi muudatuslogi CVE-numbritega, pakkuja kinnitus |
| Vaev praegu | Keskmine kuni suur, vaja on ühilduvustestid | Väike distributsiooni puhul, suur oma ehituse puhul |
| Vaev hiljem | Väike kuni järgmise versioonihüppeni | Kasvab iga uue turvaauguga |
| Risk rakendusele | Ühildumatused vana koodi ja laiendustega | Väike, käitumine jääb suures osas samaks |
| Sobivus püsilahenduseks | Jah | Ainult distributsiooni backport toetatud operatsioonisüsteemi raames |
Rida „Vaev hiljem“ on kõige olulisem. PHP2Shell ei jää viimaseks turvaauguks. Iga kuu versioonil ilma ametliku toeta tähendab, et järgmine teade tõstatab uuesti sama küsimuse.
Milline sihtversioon uuenduse puhul?
php.net-i andmetel kehtib iga PHP haru kohta: kaks aastat aktiivset tuge, seejärel kaks aastat ainult turvaparandusi. Sellest tulenevad turvatoe lõppkuupäevad:
| Versioon | Turvatugi kuni |
|---|---|
| PHP 8.2 | 31.12.2026 |
| PHP 8.3 | 31.12.2027 |
| PHP 8.4 | 31.12.2028 |
| PHP 8.5 | 31.12.2029 |
Uuendus versioonile 8.2 on seetõttu vaid lühike vahepeatus. Kes niikuinii migreerib, peaks sihtima pikema horisondiga versiooni, kui CMS, pood ja laiendused seda toetavad. Seda kontrollite tootja süsteeminõuetest, mitte mälu järgi. Kuidas väljalasketsükkel toimib, selgitab artikkel PHP versioonid ja väljalasketsükkel.
Ükskõik, milline tee: pärast paigaldamist tuleb kõik PHP protsessid taaskäivitada. Backport, mis asub ainult kettal, ei kaitse, kuni vanad tööprotsessid mälus töötavad.
Pragmaatiline järjekord vanasüsteemidele
- Kohe: Seada php.net-i üleminekumeetmed või võtta süsteem ajutiselt võrgust maha, kui tõendatud parandust ei ole saadaval.
- Järgmiste päevade jooksul: Paigaldada tõendatud backport, võimaluse korral oma distributsioonist või pakkuja kirjaliku kinnitusega.
- Paralleelselt: Kontrollida rakenduse ühilduvust toetatud versiooniga ja panna paika ajakava.
- Järgmiste kuude jooksul: Uuendus sihtversioonile, testkoopias ette valmistatud, tagavaraplaaniga.
Backporti silla, mitte sihina nägemine on otsustav mõte.
Millal te selleks teenusepakkujat ei vaja
Kui teie server töötab toetatud Debiani, Ubuntu või RHEL-i peal ja distributsioon pakub backporti, piisab tavalisest uuendusest koos taaskäivitusega ja pilgust muudatuslogisse. Seda saab kogenud administraator üksi. Abi tasub oma ehituste, kolmanda poole allikate, väga vanade versioonide või rakenduse puhul, mille ühilduvust keegi enam ei ülevaata.
Kuidas PHP SOS konkreetselt aitab?
- Kontrollime, millised PHP versioonid ja pakettide allikad teie serveritel töötavad ja kas tõendatud parandus on olemas.
- Paigaldame backportid, taaskäivitame ja dokumenteerime tõendi muudatuslogi kaudu.
- Testime teie rakendust koopias sihtversiooni vastu ja nimetame ühildumatused.
- Planeerime ja toetame uuendust PHP 8.1 ja vanema migratsiooni raames.
Kokkuvõte
Distributsiooni backport on täisväärtuslik tee, kõik muud backportid on sillad. Kes on kinni PHP 8.1 või vanemas, peaks kasutama backporti uuenduse jaoks aja võitmiseks, mitte selle edasilükkamiseks.
Korduma kippuvad küsimused
Kas backport on sama turvaline kui uuendus?
Konkreetselt parandatud turvaaugu osas võib backport olla samaväärne, kui see on täielik ja tõendatud. Kuid see parandab ainult selle, mis tagasi pandi. Uuendus toetatud versioonile toob lisaks kõik tulevased ametlikud turvauuendused.
Millest ma tunnen ära, et mu backport katab PHP2Shelli?
Paketi muudatuslogist: seal peaksid olema nimetatud CVE-numbrid CVE-2026-109618 ja CVE-2026-109619. Debianis ja Ubuntus näitab seda apt-get changelog, RHEL-i perekonnas rpm -q --changelog. Versiooninumber üksi ei ole tõend.
Kaua PHP 8.2 veel turvauuendusi saab?
php.net-i andmetel lõpeb PHP 8.2 turvatugi 31.12.2026. Kes uuendab täna versioonile 8.2, peaks seega järgmise sammu kohe ka planeerima.
Kas kommertspõhine pikaajaline tugi vanadele PHP versioonidele tasub end ära?
See võib olla sild, kui uuendus on lühiajaliselt võimatu. Laske kirjalikult kinnitada, kas ja millest alates PHP2Shelli kaetakse. Seni teadaolevates allikates see tõendatud ei olnud.