Lyhyesti: Se, onko PHP-päivitys vai backport oikea valinta, riippuu siitä, kuinka kauan järjestelmänne vielä toimii ja kuinka hyvin backport on todistettu. Oman jakelun backport tuetulla käyttöjärjestelmällä on täysipainoinen tie. Lähdekoodin backportit, kolmannen osapuolen lähteet ja kaupallinen pitkäaikainen tuki PHP 8.1:lle ja vanhemmille ovat siltoja, joilla on päättymispäivä. Pitkällä aikavälillä auttaa vain siirtyminen PHP-versioon, jota PHP-projekti yhä virallisesti tukee.
Miksi kysymys on PHP2Shellin jälkeen kiireellinen
21.10.2026 PHP-projekti korjasi PHP2Shellin versioissa 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1:lle ja vanhemmille ei enää ole virallisia julkaisuja, vain minimaaliset lähdekoodin backportit versioille 7.4, 8.0 ja 8.1. Ammattilehdistön mukaan lähes kaikki versiot aina PHP 5.4:ään asti ovat alttiita.
Näin monet vanhojen järjestelmien ylläpitäjät kohtaavat saman kysymyksen: riittääkö, että aukko jotenkin paikataan, vai onko nyt tehtävä päivitys, jota on lykätty vuosia? Mitä päivitys käytännössä tarkoittaa, kuvaa palvelumme PHP 8.1:n ja vanhempien siirto. Mitä pätee ilman virallista päivitystä, kerrotaan sivulla PHP 8.1 ja vanhemmat: mikä nyt pätee. Tämä kirjoitus auttaa punnitsemaan näiden väliä.
Millaisia backporteja on
”Backport” on yleiskäsite. Se tarkoittaa aina sitä, että korjaus uudemmasta versiosta viedään vanhempaan. Kuka sen tekee ja kuinka hyvin se on tarkistettu, vaihtelee kuitenkin paljon.
- Jakelun backport: Debian, Ubuntu, Red Hat ja muut vievät tietoturvakorjaukset tuettujen julkaisujensa PHP-paketteihin. Versionumero pysyy usein samana; raporttien mukaan esimerkiksi Ubuntu 24.04 näyttää päivityksen jälkeenkin 8.3.6. Korjaus todistetaan paketin muutoslokilla ja jakelun tietoturvatiedotteilla.
- Kolmannen osapuolen lähde: Ondřej Surýn sury.org-pakettivarasto on raporttien mukaan tarjonnut koontiversioita kaikille haaroille 5.6:sta 8.5:een. Se ei ole Debianin tietoturva-arkisto. Yksityiskohdat löytyvät sivulta sury.org-pakettivarasto.
- PHP-projektin lähdekoodin backport: Versioille 7.4, 8.0 ja 8.1 on olemassa minimaaliset korjaukset lähdekoodissa, mutta ei valmiita julkaisuja. Joka käyttää niitä, joutuu rakentamaan PHP:n itse, testaamaan ja jatkossa ylläpitämään sen itse.
- Kaupallinen pitkäaikainen tuki: Toimittajat kuten TuxCare ELS tai Zend/HeroDevs tarjoavat vanhojen versioiden ylläpitoa. Kattavatko ne PHP2Shellin ja milloin, on vahvistettava kirjallisesti; sitä ei todistettu tunnetuissa lähteissä. Lisää sivulla Pitkäaikainen tuki vanhoille PHP-versioille.
PHP-päivitys vai backport: vertailu
| Kriteeri | Päivitys tuettuun versioon | Backport (lajista riippuen) |
|---|---|---|
| Suoja PHP2Shelliä vastaan | Kyllä, versiolla 8.2.35, 8.3.36, 8.4.27 tai 8.5.12 | Kyllä, jos täydellinen ja todistettu |
| Tulevat tietoturvapäivitykset | Virallisesti version tuen päättymiseen asti | Vain niin kauan kuin kyseinen toimittaja ylläpitää |
| Todiste | Versionumero ja uudelleenkäynnistys | Paketin muutosloki CVE-numeroineen, toimittajan vahvistus |
| Vaiva nyt | Keskisuuri tai suuri, yhteensopivuustestit tarpeen | Pieni jakelulla, suuri omalla rakennuksella |
| Vaiva myöhemmin | Pieni seuraavaan versiohyppyyn asti | Kasvaa jokaisen uuden aukon myötä |
| Riski sovellukselle | Epäyhteensopivuudet vanhan koodin ja laajennusten kanssa | Pieni, käyttäytyminen pysyy pitkälti samana |
| Soveltuvuus pysyväksi ratkaisuksi | Kyllä | Vain jakelun backport tuetun käyttöjärjestelmän puitteissa |
Rivi ”Vaiva myöhemmin” on tärkein. PHP2Shell ei tule olemaan viimeinen aukko. Jokainen kuukausi versiolla ilman virallista tukea tarkoittaa, että seuraava tiedote nostaa saman kysymyksen uudelleen esiin.
Mikä kohdeversio päivitettäessä?
php.netin mukaan jokaiselle PHP-haaralle pätee: kaksi vuotta aktiivista tukea, sen jälkeen kaksi vuotta vain tietoturvakorjauksia. Tästä seuraavat nämä tietoturvatuen päättymispäivät:
| Versio | Tietoturvatuki asti |
|---|---|
| PHP 8.2 | 31.12.2026 |
| PHP 8.3 | 31.12.2027 |
| PHP 8.4 | 31.12.2028 |
| PHP 8.5 | 31.12.2029 |
Päivitys versioon 8.2 on siksi enää lyhyt välipysäkki. Joka siirtyy joka tapauksessa, kannattaa tähdätä pidemmän aikajänteen versioon, jos CMS, verkkokauppa ja laajennukset sitä tukevat. Se tarkistetaan valmistajan järjestelmävaatimuksista, ei muistinvaraisesti. Miten julkaisusykli toimii, selittää sivu PHP-versiot ja julkaisusykli.
Tie on mikä tahansa: asennuksen jälkeen kaikki PHP-prosessit on käynnistettävä uudelleen. Backport, joka on vain levyllä, ei suojaa niin kauan kuin vanhat työprosessit toimivat muistissa.
Käytännöllinen järjestys vanhoille järjestelmille
- Heti: Ottakaa käyttöön php.netin mukaiset väliaikaiset toimenpiteet tai ottakaa järjestelmä tilapäisesti pois verkosta, jos todistettua korjausta ei ole saatavilla.
- Lähipäivinä: Asentakaa todistettu backport, mieluiten oman jakelun tai toimittajan kirjallisella vahvistuksella.
- Rinnakkain: Tarkistakaa sovelluksen yhteensopivuus tuetun version kanssa ja laatikaa aikataulu.
- Lähikuukausina: Päivitys kohdeversioon, valmisteltuna testikopiossa, paluusuunnitelmalla.
Backportin näkeminen siltana eikä päämääränä on ratkaiseva ajatus.
Milloin ette tarvitse siihen palveluntarjoajaa
Jos palvelimenne toimii tuetulla Debianilla, Ubuntulla tai RHEL:llä ja jakelu toimittaa backportin, tavallinen päivitys uudelleenkäynnistyksineen ja katse muutoslokiin riittää. Sen kokenut ylläpitäjä hoitaa yksin. Apu kannattaa omatekoisissa ratkaisuissa, kolmannen osapuolen lähteissä, hyvin vanhoissa versioissa tai sovelluksessa, jonka yhteensopivuutta kukaan ei enää hallitse.
Miten PHP SOS auttaa konkreettisesti?
- Tarkistamme, mitä PHP-versioita ja pakettilähteitä palvelimillanne on ja onko todistettu korjaus olemassa.
- Asennamme backportit, käynnistämme uudelleen ja dokumentoimme todisteen muutoslokin kautta.
- Testaamme sovelluksenne kopiossa kohdeversiota vastaan ja nimeämme epäyhteensopivuudet.
- Suunnittelemme ja tuemme päivityksen PHP 8.1:n ja vanhempien siirron puitteissa.
Yhteenveto
Jakelun backport on täysipainoinen tie, kaikki muut backportit ovat siltoja. Joka on jumissa PHP 8.1:ssä tai vanhemmassa, kannattaa käyttää backportia ajan voittamiseen päivitystä varten, ei sen lykkäämiseen.
Usein kysytyt kysymykset
Onko backport yhtä turvallinen kuin päivitys?
Konkreettisesti korjatun aukon osalta backport voi olla samanarvoinen, jos se on täydellinen ja todistettu. Se korjaa kuitenkin vain sen, mikä on tuotu taaksepäin. Päivitys tuettuun versioon tuo lisäksi kaikki tulevat viralliset tietoturvapäivitykset.
Mistä tunnistan, että backportini kattaa PHP2Shellin?
Paketin muutoslokista: siinä pitäisi mainita CVE-numerot CVE-2026-109618 ja CVE-2026-109619. Debianissa ja Ubuntussa sen näyttää apt-get changelog, RHEL-perheessä rpm -q --changelog. Versionumero yksin ei ole todiste.
Kuinka kauan PHP 8.2 saa vielä tietoturvapäivityksiä?
php.netin mukaan PHP 8.2:n tietoturvatuki päättyy 31.12.2026. Joka päivittää nyt versioon 8.2, kannattaa siis suunnitella seuraava askel heti mukaan.
Kannattaako kaupallinen pitkäaikainen tuki vanhoille PHP-versioille?
Se voi olla silta, jos päivitys on lyhyellä aikavälillä mahdoton. Pyytäkää kirjallinen vahvistus siitä, kattaako ja mistä lähtien PHP2Shellin. Tähän asti tunnetuissa lähteissä sitä ei ole todistettu.