Ukratko: Za PHP 8.1 i starije PHP projekt više ne daje službena ažuriranja. Dugoročna podrška, zvana i Extended Support, dolazi od Linux distribucija, repozitorija trećih strana ili komercijalnih usluga poput TuxCare ELS-a ili Zend/HeroDevs. Može premostiti vrijeme do nadogradnje ako pružatelj pisano potvrdi pokrivenost Vaše verzije. No ne zamjenjuje ni nadogradnju ni održavanje CMS-a i vlastitog koda.
Zašto se pitanje postavlja upravo sada
Dana 21. listopada 2026. ispravci za PHP2Shell objavljeni su samo za podržane grane 8.5, 8.4, 8.3 i 8.2. Za 7.4, 8.0 i 8.1 PHP projekt je stavio na raspolaganje samo minimalne backportove izvornog koda, dakle ispravke u izvornom kodu bez gotovog izdanja. Prema stručnom tisku pogođene su gotovo sve verzije do PHP-a 5.4.
Koliko je velik taj bazen, pokazuje analiza CybelAngela: oko 2,24 milijuna PHP hostova dostupnih s interneta, od kojih je prema CybelAngelu 59 posto na verzijama bez nadolazećeg službenog ispravka. Za mnoge tvrtke pitanje dugoročne podrške tako više nije teorijsko. I postaje veće: PHP 8.2 31. 12. 2026. dolazi do kraja podrške.
Što stari sustav sada hitno treba, opisuje članak PHP 8.1 i starije: što sada vrijedi. Ovaj prilog pomaže kod srednjoročnog pitanja: koji put nosi do nadogradnje i što mora pružati?
PHP Extended Support: putovi ukratko
| Put | Što pruža | Granice |
|---|---|---|
| Dugoročno održavanje distribucije | backportovi u paketima dok se podržava verzija distribucije | samo za PHP verziju koju ta distribucija donosi |
| Repozitorij treće strane | npr. sury.org, prema izvješćima s buildovima od 5.6 do 8.5 | nije sigurnosni arhiv distribucije, pitanje povjerenja |
| Komercijalna dugoročna podrška | zakrpani paketi za istekle verzije, npr. TuxCare ELS, Zend/HeroDevs | dati potvrditi pokrivenost po verziji i CVE-u, trajni troškovi |
| Samogradnja iz backportova izvornog koda | vlastiti buildovi iz ispravaka PHP projekta | zahtjevno, potrebno ponovno kod svake ranjivosti |
O komercijalnim ponudama: TuxCare na svojoj web-stranici opisuje CVE ispravke za istekle verzije od PHP-a 5.2 do 8.x, isporučene putem postojećeg upravljanja paketima, za Windows i uobičajene Linux distribucije. Napomena na istoj stranici javlja ispravke za PHP2Shell za istekle PHP verzije. Prema cPanel dokumentaciji TuxCare za ranjivosti od CVSS 7 obećava ispravke u roku od 14 dana od objave; na cPanel poslužiteljima se u tu svrhu domene prebacuju s ea-php na alt-php. O Zend/HeroDevsu nismo imali izjavu o pokrivenosti PHP2Shella.
Napomene o putu preko treće strane daje članak Repozitorij sury.org.
Što trebate pisano od pružatelja
Dugoročna podrška je usluga povjerenja. Kupujete obećanje da će buduće ranjivosti biti zatvorene. Zato prije odluke zatražite pisane odgovore na sljedeće:
- Koje su PHP verzije, operacijski sustavi i nazivi paketa točno pokriveni?
- Jesu li CVE-2026-109618 i CVE-2026-109619 zatvoreni za Vašu verziju, s kojim stanjem paketa i od kada?
- Kako se postupa s CVE-2026-115560 i budućim naknadnim objavama?
- Jesu li proširenja koja koristite uključena ili samo PHP jezgra?
- Kako sami provjeravate da je zakrpa instalirana, primjerice putem changeloga paketa?
- Koliko dugo traje pokrivenost za Vašu verziju i kako se najavljuje kraj?
- Što se događa s instaliranim paketima kad ugovor istekne?
Odgovori koji samo općenito upućuju na „sve sigurnosne ranjivosti“ nisu dovoljni. Za revizore, osiguravatelje i Vašu vlastitu dokumentaciju vrijedi konkretno pridruživanje verzije, paketa i CVE-a.
Granice: što dugoročna podrška ne rješava
Dugoročna podrška drži PHP runtime ažurnim. Sve iznad toga ostaje Vaš zadatak. A upravo je tamo kod starih sustava obično veći problem.
- Aplikacija i dalje zastarijeva: CMS ili shop koji treba PHP 8.1 često ni sam nije u aktualnoj verziji.
- Biblioteke i proširenja: Composer paketi i dodaci za stare PHP verzije često više ne dobivaju ažuriranja.
- Nije zamjena za ponovno pokretanje i provjeru: I zakrpani paketi djeluju tek nakon ponovnog pokretanja svih PHP procesa i ne uklanjaju zlonamjerni softver ubačen prije toga.
- Tehnički dugovi rastu: Što je most duži, to je veći skok pri kasnijoj migraciji.
- Dokazi postaju zahtjevniji: Revizori, klijenti i osiguravatelji sve češće pitaju za stanje zakrpe. Istekla PHP verzija sa zakrpama trećeg pružatelja može se dokazati, ali traži više objašnjenja od podržane verzije.
Kad je dugoročna podrška ipak pravi izbor? Tipična su tri položaja: stručna aplikacija čiji proizvođač još ne odobrava novije PHP verzije; stari sustav čija je zamjena već odlučena i koji treba raditi još samo nekoliko mjeseci; ili velika baza koda čiji prelazak treba pažljivo planirati. U sva tri slučaja dugoročna podrška kupuje vrijeme za uredno rješenje. Nije rješenje za sustave za koje se više nitko ne želi brinuti.
Ako je stari sustav između 17. i 21. listopada nezaštićen stajao na internetu, najprije razjasnite je li kompromitiran. Dugoročna podrška za već zaražen sustav ništa ne štiti.
Plan izlaska je dio odluke
Dugoročna podrška dobra je odluka kad završava datumom. Odredite do kada aplikacija treba raditi na podržanoj verziji, tko je odgovoran za migraciju i koji vrijede međuciljevi. Koliko se dugo PHP grane službeno održavaju, objašnjava članak Ciklus izdanja PHP-a.
Isplati li se za Vaš sustav više nadogradnja ili backport, odvagnut će članak PHP nadogradnja ili backport?.
Kako PHP SOS konkretno pomaže?
- Procijeniti stanje: Provjeravamo verziju, izvor paketa i stanje zakrpe Vaših starih sustava te pokazuju li tragove napada.
- Provjeriti ponude: Pisana obećanja pružatelja dugoročne podrške uspoređujemo s Vašim stvarnim stanjem.
- Osigurati most: Do nadogradnje postavljamo privremene mjere s php.net-a i ograničavamo dostupnost.
- Provesti izlazak: Uz migraciju s PHP-a 8.1 i starijih planiramo i testiramo prelazak na podržanu verziju.
Česta pitanja
Što je PHP Extended Support?
Misli se na ponude koje PHP verzije i nakon službenog kraja podrške nastavljaju opskrbljivati sigurnosnim ispravcima. To mogu biti Linux distribucije, repozitoriji trećih strana ili komercijalne usluge poput TuxCare ELS-a ili Zend/HeroDevs.
Pokriva li komercijalna dugoročna podrška PHP2Shell?
TuxCare na svojoj web-stranici navodi da je za istekle PHP verzije stavio na raspolaganje ispravke za PHP2Shell. Za Vašu konkretnu verziju, paket i operacijski sustav to ipak biste trebali dati pisano potvrditi i provjeriti u changelogu.
Je li dugoročna podrška alternativa nadogradnji?
Samo privremeno. Ona drži PHP runtime zakrpanim, ali ne CMS, proširenja i vlastiti kod, koji su često također zastarjeli. Datum izlaska stoga pripada u svaku odluku o dugoročnoj podršci.
Što se događa kad ugovor o dugoročnoj podršci istekne?
Prema cPanel dokumentaciji o TuxCareu instalirani paketi rade dalje, ali više ne primaju nova sigurnosna ažuriranja. Sustav je tada opet u istom položaju kao prije, samo kasnije.
Vrijedi li ta tema i za PHP 8.2?
Da, uskoro. PHP 8.2 s verzijom 8.2.35 još dobiva ispravak za PHP2Shell, ali 31. 12. 2026. dolazi do kraja podrške. Tko vodi 8.2, prelazak bi trebao planirati sada.