Stručne: Či je správnou voľbou upgrade PHP, alebo backport, závisí od toho, ako dlho má váš systém ešte bežať a ako dobre je backport doložený. Backport vlastnej distribúcie na podporovanom operačnom systéme je plnohodnotná cesta. Backporty zdrojového kódu, zdroje tretích strán a komerčná dlhodobá podpora pre PHP 8.1 a staršie sú mosty s dátumom skončenia. Dlhodobo pomôže iba prechod na verziu PHP, ktorú projekt PHP ešte oficiálne podporuje.
Prečo je otázka po PHP2Shell naliehavá
Dňa 21. 10. 2026 projekt PHP opravil PHP2Shell vo verziách 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už neexistujú oficiálne vydania, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1. Podľa odbornej tlače sú zasiahnuté takmer všetky verzie až po PHP 5.4.
Mnohí prevádzkovatelia starých systémov tak stoja pred rovnakou otázkou: Stačí zraniteľnosť nejako zalepiť, alebo musí teraz prísť upgrade, ktorý sa roky odkladal? Čo upgrade prakticky znamená, opisuje naša ponuka migrácie z PHP 8.1 a starších. Čo platí bez oficiálnej aktualizácie, nájdete v článku PHP 8.1 a staršie: čo platí teraz. Tento príspevok pomáha so zvažovaním medzi tým.
Aké druhy backportov existujú
„Backport“ je súhrnný pojem. Vždy sa tým myslí, že sa oprava z novšej verzie prenesie do staršej. Kto to robí a ako dobre je to preverené, sa však veľmi líši.
- Backport distribúcie: Debian, Ubuntu, Red Hat a ďalší preberajú bezpečnostné opravy do balíkov PHP svojich podporovaných vydaní. Číslo verzie pritom často zostáva rovnaké; podľa správ zobrazuje napríklad Ubuntu 24.04 po aktualizácii naďalej 8.3.6. Oprava sa dokladá changelogom balíka a bezpečnostnými hláseniami distribúcie.
- Zdroj tretej strany: Repozitár sury.org od Ondřeja Surého podľa správ poskytol zostavenia pre všetky vetvy od 5.6 po 8.5. Nie je to bezpečnostný archív Debianu. Podrobnosti nájdete v článku Repozitár sury.org.
- Backport zdrojového kódu od projektu PHP: Pre 7.4, 8.0 a 8.1 existujú minimálne záplaty v zdrojovom kóde, ale žiadne hotové vydania. Kto ich používa, musí PHP sám zostaviť, otestovať a v budúcnosti sám udržiavať.
- Komerčná dlhodobá podpora: Poskytovatelia ako TuxCare ELS alebo Zend/HeroDevs ponúkajú údržbu starých verzií. Či a odkedy pokrývajú PHP2Shell, treba nechať písomne potvrdiť; v známych zdrojoch to doložené nebolo. Viac v článku Dlhodobá podpora starých verzií PHP.
Upgrade PHP alebo backport: porovnanie
| Kritérium | Upgrade na podporovanú verziu | Backport (podľa druhu) |
|---|---|---|
| Ochrana proti PHP2Shell | Áno, s 8.2.35, 8.3.36, 8.4.27 alebo 8.5.12 | Áno, ak je úplný a doložený |
| Budúce bezpečnostné aktualizácie | Oficiálne do konca podpory verzie | Iba pokiaľ príslušný poskytovateľ udržiava |
| Doklad | Číslo verzie plus reštart | Changelog balíka s číslami CVE, potvrdenie poskytovateľa |
| Náročnosť teraz | Stredná až vysoká, potrebné testy kompatibility | Nízka pri distribúcii, vysoká pri vlastnom zostavení |
| Náročnosť neskôr | Nízka až do ďalšieho skoku verzie | Rastie s každou novou zraniteľnosťou |
| Riziko pre aplikáciu | Nekompatibility so starým kódom a rozšíreniami | Nízke, správanie zostáva do veľkej miery rovnaké |
| Vhodnosť ako trvalé riešenie | Áno | Iba backport distribúcie v rámci podporovaného operačného systému |
Riadok „Náročnosť neskôr“ je najdôležitejší. PHP2Shell nebolo poslednou zraniteľnosťou. Každý mesiac na verzii bez oficiálnej podpory znamená, že ďalšie hlásenie opäť vyvolá tú istú otázku.
Aká cieľová verzia pri upgrade?
Podľa php.net platí pre každú vetvu PHP: dva roky aktívnej podpory, potom dva roky iba bezpečnostných opráv. Z toho vyplývajú tieto dátumy skončenia bezpečnostnej podpory:
| Verzia | Bezpečnostná podpora do |
|---|---|
| PHP 8.2 | 31. 12. 2026 |
| PHP 8.3 | 31. 12. 2027 |
| PHP 8.4 | 31. 12. 2028 |
| PHP 8.5 | 31. 12. 2029 |
Upgrade na 8.2 je preto už len krátkou prestávkou. Kto aj tak migruje, mal by zacieliť na verziu s dlhším horizontom, pokiaľ ju CMS, obchod a rozšírenia podporujú. To si overíte v systémových požiadavkách výrobcu, nie spamäti. Ako funguje cyklus vydávania, vysvetľuje článok Verzie PHP a cyklus vydávania.
Bez ohľadu na cestu: Po nasadení sa musia reštartovať všetky procesy PHP. Backport, ktorý leží iba na disku, nechráni, kým v pamäti bežia starí workeri.
Pragmatické poradie pre staré systémy
- Okamžite: Nastaviť prechodné opatrenia podľa php.net alebo systém dočasne odpojiť od siete, ak nie je k dispozícii doložená oprava.
- V najbližších dňoch: Nainštalovať doložený backport, podľa možnosti z vlastnej distribúcie alebo s písomným potvrdením poskytovateľa.
- Paralelne: Preveriť kompatibilitu aplikácie s podporovanou verziou a určiť harmonogram.
- V najbližších mesiacoch: Upgrade na cieľovú verziu, pripravený v testovacej kópii, so záložným plánom.
Vnímať backport ako most, nie ako cieľ, je rozhodujúca myšlienka.
Kedy na to nepotrebujete dodávateľa
Ak váš server beží na podporovanom Debiane, Ubuntu alebo RHEL a distribúcia dodáva backport, stačí bežná aktualizácia s reštartom a pohľad do changelogu. To zvládne skúsený administrátor sám. Pomoc sa oplatí pri vlastných zostaveniach, zdrojoch tretích strán, veľmi starých verziách alebo aplikácii, ktorej kompatibilitu už nikto neprehliada.
Ako konkrétne pomáha PHP SOS?
- Preverujeme, aké verzie PHP a zdroje balíkov bežia na vašich serveroch a či existuje doložená oprava.
- Nasadzujeme backporty, reštartujeme a dokladáme prostredníctvom changelogu.
- Vašu aplikáciu testujeme v kópii proti cieľovej verzii a pomenúvame nekompatibility.
- Upgrade plánujeme a sprevádzame v rámci migrácie z PHP 8.1 a starších.
Záver
Backport distribúcie je plnohodnotná cesta, všetky ostatné backporty sú mosty. Kto uviazol na PHP 8.1 alebo staršom, mal by backport využiť na získanie času na upgrade, nie na jeho ďalšie odkladanie.
Časté otázky
Je backport rovnako bezpečný ako upgrade?
Pre konkrétne opravenú zraniteľnosť môže byť backport rovnocenný, ak je úplný a doložený. Opravuje však iba to, čo sa spätne preniesol. Upgrade na podporovanú verziu navyše prináša všetky budúce oficiálne bezpečnostné aktualizácie.
Podľa čoho spoznám, že môj backport pokrýva PHP2Shell?
Podľa changelogu balíka: Mali by tam byť uvedené čísla CVE-2026-109618 a CVE-2026-109619. V Debiane a Ubuntu to ukáže apt-get changelog, v rodine RHEL rpm -q --changelog. Samotné číslo verzie nie je dôkaz.
Ako dlho bude PHP 8.2 ešte dostávať bezpečnostné aktualizácie?
Podľa php.net sa bezpečnostná podpora PHP 8.2 končí 31. 12. 2026. Kto dnes aktualizuje na 8.2, mal by teda ďalší krok plánovať hneď.
Oplatí sa komerčná dlhodobá podpora pre staré verzie PHP?
Môže byť mostom, ak je upgrade v krátkom čase nemožný. Nechajte si písomne potvrdiť, či a odkedy pokrýva PHP2Shell. V doteraz známych zdrojoch to doložené nebolo.