Kompilera PHP från källkoden

Kort sagt: Att kompilera PHP betyder att ladda ner det officiella källpaketet från php.net, med ./configure fastställa önskade gränssnitt och tillägg, bygga med make, kontrollera med make test och sedan installera. Det ger full kontroll över version och omfattning. Priset: För varje säkerhetsuppdatering är ni själva ansvariga, som senast vid PHP2Shell, när man var tvungen att bygga om och starta om alla processer.

När egna PHP-byggen är rimliga

De flesta servrar får PHP från en paketkälla: från Linux-distributionen, ett tredjeparts-repository eller via en container-image. Det är för normal drift oftast det bästa valet, eftersom säkerhetsrättelser levereras automatiskt.

Egna byggen har ändå sin plats:

Den som väljer egna byggen behöver en fast process för uppdateringar, annars blir fördelen en risk.

Förutsättningar

Enligt manualen behövs GNU make och en C-kompilator; sedan PHP 8.4 måste kompilatorn stödja C11. Den som bygger från Git-repositoryt i stället för från ett release-paket behöver dessutom autoconf (från 2.68), re2c (från 1.0.3 för PHP 8.3 och nyare) och bison (från 3.0.0). README i källkoden anger för Ubuntu den här starten:

sudo apt install -y pkg-config build-essential autoconf bison re2c libxml2-dev libsqlite3-dev

För varje ytterligare tillägg tillkommer de passande utvecklingspaketen, till exempel för OpenSSL eller libsodium.

Hämta källkoden och kontrollera äktheten

Ett självbyggt PHP är bara så pålitligt som dess källkod. php.net erbjuder varje paket med SHA-256-kontrollsumma och GPG-signatur; release managers nycklar finns på nedladdningssidan och på sidan med GPG-nycklar.

curl -O https://www.php.net/distributions/php-8.4.27.tar.xz
curl -O https://www.php.net/distributions/php-8.4.27.tar.xz.asc
sha256sum php-8.4.27.tar.xz                     # jämför med värdet på php.net
gpg --verify php-8.4.27.tar.xz.asc php-8.4.27.tar.xz

Först när kontrollsumma och signatur stämmer går man vidare.

Kompilera PHP: configure, make, test

Förloppet har fyra steg:

1. Konfigurera: ./configure med önskade alternativ. Vid bygge från Git körs ./buildconf först.
2. Bygga: make -j"$(nproc)"; antalet jobb motsvarar enligt README lämpligen antalet processorkärnor.
3. Testa: make TEST_PHP_ARGS=-j4 test kör PHP:s testsvit.
4. Installera: make install, beroende på målkatalog med root-rättigheter.

Ett exempel på ett PHP-FPM-bygge med egen målkatalog:

tar xf php-8.4.27.tar.xz && cd php-8.4.27
./configure --prefix=/opt/php-8.4 \
  --with-config-file-path=/opt/php-8.4/etc \
  --enable-fpm --with-fpm-user=www-data --with-fpm-group=www-data --with-fpm-systemd \
  --with-openssl --with-sodium \
  --disable-cgi
make -j"$(nproc)"
make TEST_PHP_ARGS=-j4 test
sudo make install
/opt/php-8.4/bin/php -v

De viktigaste alternativen i överblick:

Med --prefix går det att installera flera självbyggda versioner sida vid sida, till exempel under /opt/php-8.3 och /opt/php-8.4. Det underlättar omställningar men kräver disciplin: Varje installerad version är egen programvara som måste byggas om vid varje säkerhetsrelease, även när ingen webbplats just då använder den. Byggen som inte längre behövs ska tas bort helt. Vilka alternativ ett befintligt bygge har visar php -i på raden ”Configure Command”; den är den bästa förlagan för nästa ombyggnad.

Observera om OPcache: Sedan PHP 8.5 är OPcache enligt en antagen RFC fast inkompilerat. I äldre versioner byggs det som tillägg och laddas via zend_extension. Vad tillägg och gränssnitt är förklarar Förstå PHP-tillägg och SAPI förklarat.

Egna byggen och säkerhet: skyldigheterna efter PHP2Shell

Självkompilerat PHP har en verklig säkerhetsfördel: Ni bygger bara det ni behöver. Varje tillägg som inte byggs och varje driftläge som inte byggs är kod som inte kan innehålla någon lucka. Ett bygge utan CGI, med få tillägg och tydliga sökvägar är överskådligt.

Mot det står en hård skyldighet. Distributioner levererade vid PHP2Shell delvis backports redan den 21 oktober 2026; den som bygger själv får ingenting automatiskt. Konkret betydde det:

1. Ladda och kontrollera källkoden för den åtgärdade versionen.
2. Bygg om med identiska alternativ; php -i visar den ursprungliga configure-raden.
3. Kör testerna och installera.
4. Starta om alla PHP-processer, som beskrivet under Starta om PHP-FPM och alla workers.
5. Kontrollera den körande versionen, som förklarat under Kontrollera PHP-version och patchläge rätt.

Hur hjälper PHP SOS konkret?

Via PHP-patchtjänsten stöder vi driftansvariga för egna byggen:

• Registrera beståndet: Vi hittar självbyggda PHP-versioner och läser ut deras byggalternativ.
• Bygga om: Åtgärdad version med kontrollerad signatur, samma alternativ och fullständig testkörning.
• Rulla ut och starta om: Installation, omstart av alla processer, kontroll av den körande versionen.
• Förenkla: Där en underhållen paketkälla fyller samma syfte visar vi hur ni byter över.

Vanliga frågor

Källor

• PHP-manualen: Installation från källkod
• PHP-manualen: configure-alternativ
• PHP-manualen: Installera FPM
• php.net: Källpaket med kontrollsummor och signaturer