Накратко: За PHP 8.1 и по-стари проектът PHP вече не издава официални актуализации. Дългосрочната поддръжка, наричана още Extended Support, идва от Linux дистрибуции, хранилища на външни доставчици или комерсиални услуги като TuxCare ELS или Zend/HeroDevs. Тя може да запълни времето до надграждането, ако доставчикът потвърди писмено покритието за Вашата версия. Не замества обаче нито надграждането, нито поддръжката на CMS и собствения код.
Защо въпросът възниква точно сега
На 21 октомври 2026 г. поправките за PHP2Shell излязоха само за поддържаните клонове 8.5, 8.4, 8.3 и 8.2. За 7.4, 8.0 и 8.1 проектът PHP предостави само минимални backport-ове на изходния код, тоест поправки в изходния код без готов релийз. Според специализираната преса са засегнати почти всички версии до PHP 5.4.
Колко голям е наличният обем, показва анализ на CybelAngel: около 2,24 милиона PHP хоста, достъпни от интернет, от които според CybelAngel 59 процента са на версии без предстоящо официално поправяне. За много фирми въпросът за дългосрочната поддръжка така вече не е теоретичен. И расте: PHP 8.2 достига края на поддръжката на 31.12.2026 г.
Какво е нужно веднага на една стара система, описва PHP 8.1 и по-стари: какво важи сега. Тази статия помага при средносрочния въпрос: кой път издържа до надграждането и какво трябва да постига?
PHP Extended Support: пътищата накратко
| Път | Какво доставя | Граници |
|---|---|---|
| Дългосрочна поддръжка от дистрибуцията | Backport-ове в пакетите, докато версията на дистрибуцията се поддържа | само за версията на PHP, която тази дистрибуция носи |
| Хранилище на външен доставчик | напр. sury.org, според съобщения с build-ове от 5.6 до 8.5 | не е архивът за сигурност на дистрибуцията, въпрос на доверие |
| Комерсиална дългосрочна поддръжка | пачнати пакети за изтекли версии, напр. TuxCare ELS, Zend/HeroDevs | потвърдете покритието за всяка версия и CVE, текущи разходи |
| Собствено изграждане от backport-ове на изходния код | собствени build-ове от поправките на проекта PHP | трудоемко, необходимо наново при всяка уязвимост |
За комерсиалните предложения: TuxCare описва на своя уебсайт CVE поправки за изтекли версии от PHP 5.2 до 8.x, доставяни чрез съществуващото управление на пакети, за Windows и разпространени Linux дистрибуции. Указание на същата страница съобщава поправки за PHP2Shell за изтекли версии на PHP. Според документацията на cPanel TuxCare обещава за уязвимости от CVSS 7 нагоре поправки в рамките на 14 дни след публикуването; на cPanel сървъри за това домейните се превключват от ea-php на alt-php. За Zend/HeroDevs не разполагахме с изявление за покритието на PHP2Shell.
Указания за пътя през външен доставчик дава статията Хранилището sury.org.
Какво Ви трябва писмено от доставчика
Дългосрочната поддръжка е услуга на доверието. Купувате обещанието, че бъдещите уязвимости ще бъдат затваряни. Затова преди решението поискайте писмен отговор на:
- Кои версии на PHP, операционни системи и имена на пакети са точно покрити?
- Затворени ли са CVE-2026-109618 и CVE-2026-109619 за Вашата версия, с кое състояние на пакета и от кога?
- Как се процедира с CVE-2026-115560 и бъдещи последващи съобщения?
- Включени ли са разширенията, които ползвате, или само ядрото на PHP?
- Как сами проверявате, че пачът е инсталиран, например чрез changelog на пакета?
- До кога важи покритието за Вашата версия и как се обявява краят му?
- Какво става с инсталираните пакети, когато договорът изтече?
Отговори, които само общо препращат към „всички уязвимости“, не са достатъчни. За одитори, застрахователи и Вашата собствена документация значение има конкретното съпоставяне на версия, пакет и CVE.
Границите: какво дългосрочната поддръжка не решава
Дългосрочната поддръжка държи PHP средата за изпълнение актуална. Всичко над нея остава Ваша задача. И точно там при старите системи обикновено е по-големият проблем.
- Приложението продължава да остарява: CMS или магазин, който изисква PHP 8.1, често и самият не е в актуалната версия.
- Библиотеки и разширения: Пакетите на Composer и добавките за стари версии на PHP често вече не получават актуализации.
- Не замества рестарта и проверката: И пачнатите пакети действат едва след рестарт на всички PHP процеси и не премахват злонамерен софтуер, вмъкнат преди това.
- Техническият дълг расте: Колкото по-дълъг е мостът, толкова по-голям е скокът при по-късната миграция.
- Доказателствата стават по-трудоемки: Одитори, клиенти и застрахователи все по-често питат за състоянието на пача. Изтекла версия на PHP с пачове на външен доставчик може да се докаже, но изисква повече обяснение от поддържана версия.
Кога дългосрочната поддръжка все пак е правилният избор? Типични са три положения: специализирано приложение, чийто производител още не разрешава по-нови версии на PHP; стара система, чиято замяна е вече решена и която трябва да работи още само няколко месеца; или голяма кодова база, чието превключване трябва да се планира внимателно. И в трите случая дългосрочната поддръжка купува време за подредено решение. Тя не е решение за системи, за които никой вече не иска да се грижи.
Ако стара система е стояла между 17 и 21 октомври незащитена в интернет, първо изяснете дали е компрометирана. Дългосрочната поддръжка за вече засегната система не защитава нищо.
План за излизане е част от решението
Дългосрочната поддръжка е добро решение, когато завършва с дата. Определете до кога приложението трябва да работи на поддържана версия, кой отговаря за миграцията и какви междинни цели важат. Колко дълго клоновете на PHP се поддържат официално, обяснява Цикълът на издаване на PHP.
Дали за Вашата система се отплаща по-скоро надграждане, или backport, преценява статията PHP надграждане или backport?.
Как помага PHP SOS конкретно?
- Оценка на положението: Проверяваме версията, източника на пакета и състоянието на пача на Вашите стари системи и дали показват следи от нападение.
- Проверка на предложенията: Сверяваме писмените обещания на доставчик на дългосрочна поддръжка с Вашето действително наличие.
- Обезопасяване на моста: До надграждането задаваме преходните мерки от php.net и ограничаваме достъпността.
- Реализиране на излизането: С миграцията от PHP 8.1 и по-стари планираме и тестваме преминаването към поддържана версия.
Често задавани въпроси
Какво е PHP Extended Support?
Имат се предвид предложения, които продължават да снабдяват версии на PHP с поправки за сигурност след официалния край на поддръжката. Това могат да бъдат Linux дистрибуции, хранилища на външни доставчици или комерсиални услуги като TuxCare ELS или Zend/HeroDevs.
Покрива ли комерсиалната дългосрочна поддръжка PHP2Shell?
TuxCare посочва на своя уебсайт, че е предоставила поправки за PHP2Shell за изтекли версии на PHP. За Вашата конкретна версия, Вашия пакет и Вашата операционна система все пак трябва да поискате писмено потвърждение и да проверите в changelog.
Алтернатива ли е дългосрочната поддръжка на надграждането?
Само временно. Тя поддържа PHP средата за изпълнение пачната, но не и CMS, разширенията и собствения код, които често също са остарели. Затова дата за излизане принадлежи към всяко решение за дългосрочна поддръжка.
Какво става, когато договорът за дългосрочна поддръжка изтече?
Според документацията на cPanel за TuxCare инсталираните пакети продължават да работят, но вече не получават нови актуализации за сигурност. Системата е тогава отново в същото положение като преди, само по-късно.
Важи ли темата и за PHP 8.2?
Да, скоро. PHP 8.2 с 8.2.35 още получава поправката за PHP2Shell, но на 31.12.2026 г. достига края на поддръжката. Който управлява 8.2, трябва да планира преминаването още сега.