Īsi sakot: PHP 8.1 un vecākām versijām no PHP projekta oficiālu atjauninājumu vairs nav. Ilgtermiņa atbalstu, saukto arī Extended Support, piedāvā Linux distributīvi, trešo pušu repozitoriji vai komerciāli pakalpojumi, piemēram, TuxCare ELS vai Zend/HeroDevs. Tas var pārvarēt laiku līdz jauninājumam, ja sniedzējs rakstiski apstiprina aptvērumu jūsu versijai. Taču tas neaizstāj ne jauninājumu, ne CMS un paša koda kopšanu.
Kāpēc šis jautājums parādās tieši tagad
- gada 21. oktobrī PHP2Shell labojumi parādījās tikai atbalstītajiem atzariem 8.5, 8.4, 8.3 un 8.2. Versijām 7.4, 8.0 un 8.1 PHP projekts ir nodrošinājis tikai minimālus pirmkoda backport labojumus, tātad labojumus pirmkodā bez gatava izlaiduma. Saskaņā ar specializēto presi skarta ir gandrīz katra versija līdz pat PHP 5.4.
Cik liels ir fonds, rāda CybelAngel izvērtējums: aptuveni 2,24 miljoni no interneta sasniedzamu PHP resursdatoru, no tiem saskaņā ar CybelAngel 59 procenti darbojas ar versijām bez gaidāma oficiāla labojuma. Daudziem uzņēmumiem jautājums par ilgtermiņa atbalstu tādējādi vairs nav teorētisks. Un tas kļūst lielāks: PHP 8.2 atbalsta beigas sasniedz 2026. gada 31. decembrī.
Ko vecai sistēmai vajag nekavējoties, apraksta PHP 8.1 un vecākas: kas tagad ir spēkā. Šis raksts palīdz ar vidēja termiņa jautājumu: kurš ceļš nes līdz jauninājumam un kas tam jānodrošina?
PHP Extended Support: ceļi pārskatā
| Ceļš | Ko tas sniedz | Robežas |
|---|---|---|
| Distributīva ilgtermiņa kopšana | Backport labojumi pakotnēs, kamēr distributīva versija tiek atbalstīta | tikai tai PHP versijai, ko šis distributīvs nes līdzi |
| Trešās puses repozitorijs | piem., sury.org, saskaņā ar ziņojumiem ar būvējumiem no 5.6 līdz 8.5 | nav distributīva drošības arhīvs, uzticības jautājums |
| Komerciāls ilgtermiņa atbalsts | ielāpotas pakotnes beigušām versijām, piem., TuxCare ELS, Zend/HeroDevs | aptvērums katrai versijai un CVE jāapstiprina, pastāvīgas izmaksas |
| Pašbūve no pirmkoda backport | paša būvējumi no PHP projekta labojumiem | darbietilpīgi, pie katras ievainojamības nepieciešams atkal |
Par komerciālajiem piedāvājumiem: TuxCare savā tīmekļa vietnē apraksta CVE labojumus beigušām PHP versijām no 5.2 līdz 8.x, piegādātus ar esošo pakotņu pārvaldību, Windows un izplatītākajiem Linux distributīviem. Norāde tajā pašā lapā paziņo par PHP2Shell labojumiem beigušām PHP versijām. Saskaņā ar cPanel dokumentāciju TuxCare ievainojamībām no CVSS 7 solās labojumus 14 dienu laikā pēc publicēšanas; cPanel serveros šim nolūkam domēni tiek pārslēgti no ea-php uz alt-php. Par Zend/HeroDevs mums nebija paziņojuma par PHP2Shell aptvērumu.
Norādes par trešo pušu ceļu sniedz raksts sury.org repozitorijs.
Ko jums vajag rakstiski no sniedzēja
Ilgtermiņa atbalsts ir uzticības pakalpojums. Jūs pērkat solījumu, ka nākotnes ievainojamības tiks aizvērtas. Tāpēc pirms lēmuma lūdziet rakstiskas atbildes:
- Kuras PHP versijas, operētājsistēmas un pakotņu nosaukumi ir aptverti tieši?
- Vai CVE-2026-109618 un CVE-2026-109619 jūsu versijai ir aizvērtas, ar kādu pakotnes stāvokli un kopš kura laika?
- Kā tiek rīkoties ar CVE-2026-115560 un turpmākiem sekojošiem paziņojumiem?
- Vai jūsu izmantotie paplašinājumi ir iekļauti vai tikai PHP kodols?
- Kā paši pārbaudāt, ka ielāps ir ieviests, piemēram, pēc pakotnes changelog?
- Cik ilgi darbojas aptvērums jūsu versijai un kā tiek paziņotas beigas?
- Kas notiek ar instalētajām pakotnēm, kad līgums beidzas?
Atbildes, kas vispārīgi atsaucas uz „visām drošības ievainojamībām”, nav pietiekamas. Pārbaudītājiem, apdrošinātājiem un jūsu pašu dokumentācijai skaitās konkrēta versijas, pakotnes un CVE piesaiste.
Robežas: ko ilgtermiņa atbalsts neatrisina
Ilgtermiņa atbalsts uztur PHP izpildes vidi aktuālu. Viss virs tās paliek jūsu uzdevums. Un tieši tur vecām sistēmām parasti ir lielākā problēma.
- Lietojumprogramma turpina novecot: CMS vai veikals, kam vajag PHP 8.1, bieži pats vairs nav izmantots aktuālajā versijā.
- Bibliotēkas un paplašinājumi: Composer pakotnes un spraudņi vecām PHP versijām bieži atjauninājumus vairs nesaņem.
- Neaizstāj pārstartēšanu un pārbaudi: arī ielāpotas pakotnes iedarbojas tikai pēc visu PHP procesu pārstartēšanas, un tās nenoņem ļaunprogrammatūru, kas iepriekš ievadīta.
- Tehniskie parādi aug: jo garāks tilts, jo lielāks lēciens vēlākā migrācijā.
- Pierādījumi kļūst darbietilpīgāki: pārbaudītāji, klienti un apdrošinātāji aizvien biežāk jautā par ielāpa stāvokli. Beigusies PHP versija ar trešo pušu ielāpiem ir pierādāma, bet prasa vairāk paskaidrojumu nekā atbalstīta versija.
Kad ilgtermiņa atbalsts tomēr ir pareizā izvēle? Tipiskas ir trīs situācijas: speciāla lietojumprogramma, kuras ražotājs jaunākas PHP versijas vēl neatļauj; veca sistēma, kuras nomaiņa jau ir nolemta un kurai jādarbojas vēl tikai dažus mēnešus; vai liela koda bāze, kuras pārslēgšana rūpīgi jāplāno. Visos trijos gadījumos ilgtermiņa atbalsts nopērk laiku sakārtotam risinājumam. Tas nav risinājums sistēmām, ar kurām neviens vairs negrib nodarboties.
Ja veca sistēma laikā no 17. līdz 21. oktobrim bija neaizsargāta internetā, vispirms noskaidrojiet, vai tā nav kompromitēta. Ilgtermiņa atbalsts jau inficētai sistēmai neko neaizsargā.
Izejas plāns pieder pie lietas
Ilgtermiņa atbalsts ir laba izvēle, ja tas beidzas ar datumu. Nosakiet, līdz kuram laikam lietojumprogrammai jādarbojas atbalstītā versijā, kas atbild par migrāciju un kādi starpmērķi ir spēkā. Cik ilgi PHP atzari tiek oficiāli kopti, izskaidro PHP izlaidumu cikls.
Vai jūsu sistēmai vairāk atmaksājas jauninājums vai backport, izsver raksts PHP jauninājums vai backport?.
Kā PHP SOS palīdz konkrēti?
- Novērtēt situāciju: Mēs pārbaudām jūsu vecās sistēmas versiju, pakotnes avotu un ielāpa stāvokli un to, vai tajās nav uzbrukuma pēdu.
- Pārbaudīt piedāvājumus: Mēs ilgtermiņa atbalsta sniedzēja rakstiskos solījumus salīdzinām ar jūsu faktisko krājumu.
- Nodrošināt tiltu: Līdz jauninājumam mēs iestatām php.net pagaidu pasākumus un ierobežojam sasniedzamību.
- Īstenot izeju: Ar PHP 8.1 un vecāku versiju migrāciju mēs plānojam un testējam pāreju uz atbalstītu versiju.
Biežāk uzdotie jautājumi
Kas ir PHP Extended Support?
Ar to saprot piedāvājumus, kas PHP versijas pēc oficiālā atbalsta beigām turpina apgādāt ar drošības labojumiem. Tie var būt Linux distributīvi, trešo pušu repozitoriji vai komerciāli pakalpojumi, piemēram, TuxCare ELS vai Zend/HeroDevs.
Vai komerciāls ilgtermiņa atbalsts aptver PHP2Shell?
TuxCare savā tīmekļa vietnē norāda, ka ir nodrošinājis PHP2Shell labojumus beigušām PHP versijām. Jūsu konkrētajai versijai, pakotnei un operētājsistēmai to tomēr vajadzētu rakstiski apstiprināt un pārbaudīt changelog.
Vai ilgtermiņa atbalsts ir alternatīva jauninājumam?
Tikai uz laiku. Tas uztur PHP izpildes vidi ielāpotu, bet ne CMS, paplašinājumus un paša kodu, kas bieži arī ir novecojuši. Izejas datumam tāpēc jābūt katrā lēmumā par ilgtermiņa atbalstu.
Kas notiek, kad ilgtermiņa atbalsta līgums beidzas?
Saskaņā ar cPanel dokumentāciju par TuxCare instalētās pakotnes turpina darboties, bet jaunus drošības atjauninājumus vairs nesaņem. Sistēma tad atkal ir tādā pašā situācijā kā iepriekš, tikai vēlāk.
Vai šī tēma attiecas arī uz PHP 8.2?
Jā, drīz. PHP 8.2 ar 8.2.35 vēl saņem PHP2Shell labojumu, taču 2026. gada 31. decembrī sasniedz atbalsta beigas. Kas darbina 8.2, tam pāreja jāplāno tagad.