# Nadgradnja PHP ali prenos popravka (backport)? Odločitev za stare sisteme

> Nadgradnja PHP ali prenos popravka po PHP2Shell? Katere vrste prenosov popravkov obstajajo, kaj zmorejo in kdaj pomaga samo prehod na podprto različico.

Vir: https://phpsos.de/sl/blog/php-upgrade-oder-backport/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** Ali je prava izbira nadgradnja PHP ali prenos popravka (backport), je odvisno od tega, kako dolgo naj sistem še teče in kako dobro je prenos popravka dokazan. Prenos popravka lastne distribucije na podprtem operacijskem sistemu je polnovredna pot. Prenosi popravkov iz izvorne kode, tretji viri in komercialna dolgoročna podpora za PHP 8.1 in starejše so mostovi z rokom trajanja. Dolgoročno pomaga samo prehod na različico PHP, ki jo projekt PHP še uradno podpira.

## Zakaj vprašanje po PHP2Shell sili

Dne 21. 10. 2026 je projekt PHP odpravil PHP2Shell v različicah 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Za PHP 8.1 in starejše uradnih izdaj ni več, obstajajo le minimalni prenosi popravkov iz izvorne kode za 7.4, 8.0 in 8.1. Po strokovnem tisku so prizadete skoraj vse različice vse do PHP 5.4.

Tako se mnogi upravljavci starih sistemov soočajo z istim vprašanjem: Ali zadošča vrzel nekako zakrpati ali je zdaj treba izvesti nadgradnjo, ki se odlaša že leta? Kaj nadgradnja praktično pomeni, opisuje naša ponudba [Selitev s PHP 8.1 in starejšega](https://phpsos.de/sl/leistungen/php-migration-legacy/). Kaj velja brez uradne posodobitve, je na strani [PHP 8.1 in starejši: kaj velja zdaj](https://phpsos.de/sl/php2shell/php-8-1-und-aelter/). Ta prispevek pomaga pri tehtanju vmes.

## Katere vrste prenosov popravkov obstajajo

»Backport« je skupni pojem. Vedno pomeni, da se popravek iz novejše različice prenese v starejšo. Kdo to naredi in kako dobro je preverjeno, pa se močno razlikuje.

1. **Prenos popravka distribucije:** Debian, Ubuntu, Red Hat in drugi prevzamejo varnostne popravke v pakete PHP svojih podprtih izdaj. Številka različice pogosto ostane enaka; po poročilih na primer Ubuntu 24.04 po posodobitvi še naprej kaže 8.3.6. Popravek se dokaže prek dnevnika sprememb paketa in varnostnih obvestil distribucije.
2. **Tretji vir:** Repozitorij sury.org Ondřeja Surýja je po poročilih zagotavljal gradnje za vse veje od 5.6 do 8.5. Ni varnostni arhiv Debiana. Podrobnosti so na strani [Repozitorij sury.org](https://phpsos.de/sl/blog/sury-repository-php/).
3. **Prenos popravka projekta PHP iz izvorne kode:** Za 7.4, 8.0 in 8.1 obstajajo minimalni popravki v izvorni kodi, ne pa gotove izdaje. Kdor jih uporablja, mora PHP sam zgraditi, preizkusiti in ga v prihodnje sam vzdrževati.
4. **Komercialna dolgoročna podpora:** Ponudniki, kot sta TuxCare ELS ali Zend/HeroDevs, nudijo oskrbo za stare različice. Ali in kdaj pokrivajo PHP2Shell, je treba potrditi pisno; v znanih virih to ni bilo dokazano. Več na strani [Dolgoročna podpora za stare različice PHP](https://phpsos.de/sl/blog/langzeitsupport-alte-php-versionen/).

## Nadgradnja PHP ali prenos popravka: primerjava

| Merilo | Nadgradnja na podprto različico | Prenos popravka (glede na vrsto) |
|---|---|---|
| Zaščita pred PHP2Shell | Da, z 8.2.35, 8.3.36, 8.4.27 ali 8.5.12 | Da, če je popoln in dokazan |
| Prihodnje varnostne posodobitve | Uradno do konca podpore različice | Samo dokler zadevni ponudnik vzdržuje |
| Dokazilo | Številka različice in ponovni zagon | Dnevnik sprememb paketa s številkami CVE, potrditev ponudnika |
| Napor zdaj | Srednji do velik, potrebni preizkusi združljivosti | Majhen pri distribuciji, velik pri lastni gradnji |
| Napor pozneje | Majhen do naslednjega skoka različice | Raste z vsako novo vrzeljo |
| Tveganje za aplikacijo | Nezdružljivosti s staro kodo in razširitvami | Majhno, obnašanje ostane večinoma enako |
| Primernost kot trajna rešitev | Da | Samo prenos popravka distribucije v okviru podprtega operacijskega sistema |

Vrstica »napor pozneje« je najpomembnejša. PHP2Shell ne bo zadnja vrzel. Vsak mesec na različici brez uradne podpore pomeni, da bo naslednje obvestilo spet odprlo isto vprašanje.

## Katera ciljna različica pri nadgradnji?

Po php.net velja za vsako vejo PHP: dve leti aktivne podpore, nato dve leti samo varnostni popravki. Iz tega izhajajo ti datumi konca varnostne podpore:

| Različica | Varnostna podpora do |
|---|---|
| PHP 8.2 | 31. 12. 2026 |
| PHP 8.3 | 31. 12. 2027 |
| PHP 8.4 | 31. 12. 2028 |
| PHP 8.5 | 31. 12. 2029 |

Nadgradnja na 8.2 je zato le še kratka vmesna postaja. Kdor tako ali tako seli, naj si zada različico z daljšim obzorjem, če jo CMS, trgovina in razširitve podpirajo. To preverite v sistemskih zahtevah proizvajalca, ne po spominu. Kako deluje cikel izdaj, pojasnjuje [Različice PHP in cikel izdaj](https://phpsos.de/sl/php/release-zyklus/).

> **Pomembno:**
> Ne glede na pot: po namestitvi je treba znova zagnati vse procese PHP. Prenos popravka, ki leži samo na disku, ne ščiti, dokler v pomnilniku tečejo stari delavci.

## Pragmatičen vrstni red za stare sisteme

1. **Takoj:** Uvesti prehodne ukrepe po php.net ali sistem začasno odstraniti z omrežja, če dokazanega popravka ni na voljo.
2. **V naslednjih dneh:** Namestiti dokazan prenos popravka, po možnosti iz lastne distribucije ali s pisno potrditvijo ponudnika.
3. **Vzporedno:** Preveriti združljivost aplikacije s podprto različico in določiti časovni načrt.
4. **V naslednjih mesecih:** Nadgradnja na ciljno različico, pripravljena v preizkusni kopiji, z načrtom za povratek.

Prenos popravka je treba videti kot most, ne kot cilj. To je odločilna misel.

### Kdaj za to ne potrebujete ponudnika

Če vaš strežnik teče na podprtem Debianu, Ubuntuju ali RHEL in distribucija dostavlja prenos popravka, zadošča redna posodobitev s ponovnim zagonom in pogled v dnevnik sprememb. To izkušen skrbnik zmore sam. Pomoč se splača pri lastnih gradnjah, tretjih virih, zelo starih različicah ali aplikaciji, katere združljivosti nihče več ne obvladuje.

## Kako PHP SOS pomaga konkretno?

- Preverimo, katere različice PHP in viri paketov tečejo na vaših strežnikih in ali obstaja dokazan popravek.
- Namestimo prenose popravkov, znova zaženemo in dokazilo dokumentiramo prek dnevnika sprememb.
- Vašo aplikacijo preizkusimo v kopiji proti ciljni različici in poimenujemo nezdružljivosti.
- Nadgradnjo načrtujemo in spremljamo v okviru [selitve s PHP 8.1 in starejšega](https://phpsos.de/sl/leistungen/php-migration-legacy/).

## Sklep

Prenos popravka distribucije je polnovredna pot, vsi drugi prenosi popravkov so mostovi. Kdor obtiči na PHP 8.1 ali starejšem, naj prenos popravka uporabi za pridobitev časa za nadgradnjo, ne za njeno nadaljnje odlašanje.


## Pogosta vprašanja

**Ali je prenos popravka (backport) enako varen kot nadgradnja?**  
Za konkretno odpravljeno vrzel je lahko enakovreden, če je popoln in dokazan. Odpravi pa le tisto, kar je bilo preneseno. Nadgradnja na podprto različico prinese dodatno vse prihodnje uradne varnostne posodobitve.

**Po čem prepoznam, da moj prenos popravka pokriva PHP2Shell?**  
Po dnevniku sprememb paketa: tam morata biti navedeni številki CVE CVE-2026-109618 in CVE-2026-109619. Pod Debianom in Ubuntujem to pokaže apt-get changelog, v družini RHEL rpm -q --changelog. Sama številka različice ni dokaz.

**Do kdaj PHP 8.2 še dobiva varnostne posodobitve?**  
Po php.net se varnostna podpora za PHP 8.2 konča 31. 12. 2026. Kdor danes posodobi na 8.2, naj torej takoj načrtuje naslednji korak.

**Ali se splača komercialna dolgoročna podpora za stare različice PHP?**  
Lahko je most, če nadgradnja kratkoročno ni mogoča. Pisno si dajte potrditi, ali in od kdaj je PHP2Shell pokrit. V doslej znanih virih to ni bilo dokazano.

## Viri

- [PHP: podprte različice](https://www.php.net/supported-versions.php)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [Debian Security Tracker](https://security-tracker.debian.org/)
- [Ubuntu Security Notices](https://ubuntu.com/security/notices)