Ukratko: Je li PHP nadogradnja ili backport pravi izbor, ovisi o tome koliko dugo Vaš sustav još treba raditi i koliko je backport dobro dokazan. Backport vlastite distribucije na podržanom operacijskom sustavu je ravnopravan put. Backportovi izvornog koda, izvori trećih strana i komercijalna dugoročna podrška za PHP 8.1 i starije su mostovi s rokom trajanja. Dugoročno pomaže samo prelazak na verziju PHP-a koju PHP projekt još službeno podržava.
Zašto pitanje nakon PHP2Shella hitno traži odgovor
Dana 21. 10. 2026. PHP projekt otklonio je PHP2Shell u verzijama 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih izdanja, samo minimalni backportovi izvornog koda za 7.4, 8.0 i 8.1. Prema stručnom tisku pogođene su gotovo sve verzije unatrag do PHP-a 5.4.
Time se mnogi operateri starih sustava suočavaju s istim pitanjem: je li dovoljno ranjivost nekako zakrpati ili sada mora doći nadogradnja koja se godinama odgađa? Što nadogradnja praktički znači, opisuje naša ponuda migracije s PHP-a 8.1 i starijeg. Što vrijedi bez službenog ažuriranja, piše u članku PHP 8.1 i stariji: što sada vrijedi. Ovaj članak pomaže pri odvagivanju između toga.
Koje vrste backportova postoje
„Backport“ je skupni pojam. Uvijek se misli na to da se ispravak iz novije verzije preuzima u stariju. Tko to čini i koliko je dobro provjereno, međutim, jako se razlikuje.
- Backport distribucije: Debian, Ubuntu, Red Hat i drugi preuzimaju sigurnosne ispravke u PHP pakete svojih podržanih izdanja. Broj verzije pritom često ostaje isti; prema izvješćima primjerice Ubuntu 24.04 nakon ažuriranja i dalje prikazuje 8.3.6. Ispravak se dokazuje changelogom paketa i sigurnosnim obavijestima distribucije.
- Izvor treće strane: Repozitorij sury.org Ondřeja Surýja prema izvješćima stavio je na raspolaganje buildove za sve grane od 5.6 do 8.5. To nije sigurnosni arhiv Debiana. Pojedinosti su u članku Repozitorij sury.org.
- Backport izvornog koda PHP projekta: Za 7.4, 8.0 i 8.1 postoje minimalne zakrpe u izvornom kodu, ali ne i gotova izdanja. Tko ih koristi, mora PHP sam izgraditi, testirati i ubuduće sam održavati.
- Komercijalna dugoročna podrška: Ponuditelji poput TuxCare ELS ili Zend/HeroDevs nude održavanje starih verzija. Pokrivaju li i od kada PHP2Shell, mora se potvrditi pisano; to u poznatim izvorima nije bilo dokazano. Više o tome u članku Dugoročna podrška za stare verzije PHP-a.
PHP nadogradnja ili backport: usporedba
| Kriterij | Nadogradnja na podržanu verziju | Backport (ovisno o vrsti) |
|---|---|---|
| Zaštita od PHP2Shella | Da, s 8.2.35, 8.3.36, 8.4.27 ili 8.5.12 | Da, ako je potpun i dokazan |
| Buduća sigurnosna ažuriranja | Službeno do kraja podrške verzije | Samo dok pojedini pružatelj održava |
| Dokaz | Broj verzije plus ponovno pokretanje | Changelog paketa s CVE brojevima, potvrda pružatelja |
| Trud sada | Srednji do visok, potrebni testovi kompatibilnosti | Mali kod distribucije, velik kod vlastite izgradnje |
| Trud poslije | Mali do sljedećeg skoka verzije | Raste sa svakom novom ranjivošću |
| Rizik za aplikaciju | Nekompatibilnosti sa starim kodom i proširenjima | Mali, ponašanje ostaje većinom isto |
| Prikladnost kao trajno rješenje | Da | Samo backport distribucije u okviru podržanog operacijskog sustava |
Redak „Trud poslije“ je najvažniji. PHP2Shell neće biti posljednja ranjivost. Svaki mjesec na verziji bez službene podrške znači da će sljedeća obavijest ponovno otvoriti isto pitanje.
Koja ciljna verzija kod nadogradnje?
Prema php.net-u za svaku PHP granu vrijedi: dvije godine aktivne podrške, zatim dvije godine samo sigurnosnih ispravaka. Iz toga proizlaze ovi datumi završetka sigurnosne podrške:
| Verzija | Sigurnosna podrška do |
|---|---|
| PHP 8.2 | 31. 12. 2026. |
| PHP 8.3 | 31. 12. 2027. |
| PHP 8.4 | 31. 12. 2028. |
| PHP 8.5 | 31. 12. 2029. |
Nadogradnja na 8.2 stoga je tek kratka međustanica. Tko ionako migrira, trebao bi ciljati verziju s duljim horizontom, ako je CMS, shop i proširenja podržavaju. To provjeravate u sistemskim zahtjevima proizvođača, a ne iz sjećanja. Kako funkcionira ciklus izdanja, objašnjava PHP verzije i ciklus izdanja.
Bez obzira na put: nakon instalacije moraju se ponovno pokrenuti svi PHP procesi. Backport koji samo leži na disku ne štiti dok u memoriji rade stari workeri.
Pragmatičan redoslijed za stare sustave
- Odmah: Postaviti prijelazne mjere prema php.net-u ili sustav privremeno skinuti s mreže ako nije dostupan dokazan ispravak.
- U idućim danima: Instalirati dokazan backport, po mogućnosti iz vlastite distribucije ili uz pisanu potvrdu pružatelja.
- Paralelno: Provjeriti kompatibilnost aplikacije s podržanom verzijom i utvrditi vremenski plan.
- U idućim mjesecima: Nadogradnja na ciljnu verziju, pripremljena u testnoj kopiji, s planom povratka.
Backport gledati kao most, a ne kao cilj, odlučujuća je misao.
Kada Vam za to nije potreban pružatelj usluga
Ako Vaš poslužitelj radi na podržanom Debianu, Ubuntuu ili RHEL-u i distribucija isporučuje backport, dovoljni su redovito ažuriranje s ponovnim pokretanjem i pogled u changelog. To iskusan administrator uspijeva sam. Pomoć se isplati kod vlastitih izgradnji, izvora trećih strana, vrlo starih verzija ili aplikacije čiju kompatibilnost nitko više ne nadzire.
Kako PHP SOS konkretno pomaže?
- Provjeravamo koje verzije PHP-a i izvori paketa rade na Vašim poslužiteljima i postoji li dokazan ispravak.
- Instaliramo backportove, ponovno pokrećemo i dokumentiramo dokaz putem changelogu.
- Testiramo Vašu aplikaciju u kopiji prema ciljnoj verziji i imenujemo nekompatibilnosti.
- Planiramo i pratimo nadogradnju u okviru migracije s PHP-a 8.1 i starijeg.
Zaključak
Backport distribucije je ravnopravan put, svi ostali backportovi su mostovi. Tko zapne na PHP-u 8.1 ili starijem, trebao bi backport iskoristiti da dobije vremena za nadogradnju, a ne da je dalje odgađa.
Česta pitanja
Je li backport jednako siguran kao nadogradnja?
Za konkretno otklonjenu ranjivost backport može biti ravnopravan ako je potpun i dokazan. Ali otklanja samo ono što je preneseno. Nadogradnja na podržanu verziju donosi uz to i sva buduća službena sigurnosna ažuriranja.
Kako prepoznati da moj backport pokriva PHP2Shell?
Po changelogu paketa: tamo bi trebali biti navedeni CVE brojevi CVE-2026-109618 i CVE-2026-109619. Na Debianu i Ubuntuu to pokazuje apt-get changelog, u obitelji RHEL rpm -q --changelog. Sam broj verzije nije dokaz.
Koliko dugo PHP 8.2 još dobiva sigurnosna ažuriranja?
Prema php.net-u sigurnosna podrška za PHP 8.2 završava 31. 12. 2026. Tko danas ažurira na 8.2, sljedeći korak treba odmah planirati.
Isplati li se komercijalna dugoročna podrška za stare verzije PHP-a?
Može biti most ako je nadogradnja kratkoročno nemoguća. Neka Vam pisano potvrde pokriva li i od kada PHP2Shell. U dosad poznatim izvorima to nije bilo dokazano.