Stručně: Pro PHP 8.1 a starší už projekt PHP nevydává oficiální aktualizace. Dlouhodobá podpora, též zvaná Extended Support, pochází od linuxových distribucí, repozitářů třetích stran nebo komerčních služeb jako TuxCare ELS či Zend/HeroDevs. Může přemostit dobu do upgradu, pokud poskytovatel písemně potvrdí pokrytí pro vaši verzi. Nenahrazuje však upgrade ani údržbu CMS a vlastního kódu.
Proč se otázka dostává na stůl právě teď
Dne 21. října 2026 vyšly opravy PHP2Shell jen pro podporované větve 8.5, 8.4, 8.3 a 8.2. Pro 7.4, 8.0 a 8.1 poskytl projekt PHP jen minimální backporty zdrojového kódu, tedy opravy ve zdrojovém kódu bez hotového vydání. Podle odborného tisku se zranitelnost týká téměř všech verzí až po PHP 5.4.
Jak velký je počet, ukazuje analýza CybelAngel: Zhruba 2,24 milionu hostitelů PHP dostupných z internetu, z toho podle CybelAngel 59 procent na verzích bez budoucí oficiální opravy. Pro mnoho firem tedy otázka dlouhodobé podpory už není teoretická. A bude větší: PHP 8.2 dosáhne 31. 12. 2026 konce podpory.
Co starý systém potřebuje okamžitě, popisuje článek PHP 8.1 a starší: co nyní platí. Tento článek pomáhá se střednědobou otázkou: Která cesta unese do upgradu a co musí zajistit?
PHP Extended Support: cesty v přehledu
| Cesta | Co poskytuje | Hranice |
|---|---|---|
| Dlouhodobá péče distribuce | Backporty v balíčcích, dokud je verze distribuce podporována | jen pro verzi PHP, kterou tato distribuce přináší |
| Repozitář třetí strany | např. sury.org, podle zpráv s buildy od 5.6 do 8.5 | není to bezpečnostní archiv distribuce, otázka důvěry |
| Komerční dlouhodobá podpora | zaplatované balíčky pro skončené verze, např. TuxCare ELS, Zend/HeroDevs | nechat si potvrdit pokrytí pro každou verzi a CVE, průběžné náklady |
| Vlastní sestavení z backportů zdrojového kódu | vlastní buildy z oprav projektu PHP | náročné, nutné znovu při každé zranitelnosti |
K komerčním nabídkám: TuxCare popisuje na svém webu opravy CVE pro skončené verze od PHP 5.2 po 8.x, dodávané přes stávající správu balíčků, pro Windows a běžné linuxové distribuce. Poznámka na téže stránce hlásí opravy PHP2Shell pro skončené verze PHP. Podle dokumentace cPanelu TuxCare slibuje u zranitelností od CVSS 7 opravy do 14 dnů po zveřejnění; na serverech cPanel se k tomu domény přepínají z ea-php na alt-php. K Zend/HeroDevs jsme neměli k dispozici žádné vyjádření k pokrytí PHP2Shell.
Poznámky k cestě třetích stran uvádí článek Repozitář sury.org.
Co potřebujete od poskytovatele písemně
Dlouhodobá podpora je služba založená na důvěře. Kupujete slib, že budoucí zranitelnosti budou uzavřeny. Nechte si proto před rozhodnutím písemně odpovědět:
- Které verze PHP, operační systémy a názvy balíčků jsou přesně pokryty?
- Jsou CVE-2026-109618 a CVE-2026-109619 pro vaši verzi uzavřeny, s jakým stavem balíčku a od kdy?
- Jak se naloží s CVE-2026-115560 a budoucími navazujícími oznámeními?
- Jsou zahrnuta rozšíření, která používáte, nebo jen jádro PHP?
- Jak sami ověřujete, že byla záplata nasazena, například přes changelog balíčku?
- Jak dlouho pokrytí pro vaši verzi trvá a jak se oznamuje jeho konec?
- Co se stane s nainstalovanými balíčky, když smlouva skončí?
Odpovědi, které se jen obecně odvolávají na „všechny bezpečnostní zranitelnosti“, nestačí. Pro auditory, pojišťovny a vaši vlastní dokumentaci se počítá konkrétní přiřazení verze, balíčku a CVE.
Hranice: co dlouhodobá podpora neřeší
Dlouhodobá podpora udržuje běhové prostředí PHP aktuální. Vše nad ním zůstává vaším úkolem. A právě tam leží u starých systémů většinou větší problém.
- Aplikace dál zastarává: CMS nebo e-shop, který potřebuje PHP 8.1, často sám už neběží v aktuální verzi.
- Knihovny a rozšíření: Balíčky Composeru a pluginy pro staré verze PHP často aktualizace už nedostávají.
- Žádná náhrada restartu a kontroly: I zaplatované balíčky působí až po restartu všech procesů PHP a neodstraní škodlivý software, který byl vložen dříve.
- Technický dluh roste: Čím delší přemostění, tím větší skok při pozdější migraci.
- Doklady jsou náročnější: Auditoři, zákazníci a pojišťovny se stále častěji ptají na stav záplat. Skončenou verzi PHP se záplatami třetí strany lze doložit, vyžaduje to však víc vysvětlování než podporovaná verze.
Kdy je dlouhodobá podpora přesto správnou volbou? Typické jsou tři situace: odborná aplikace, jejíž výrobce novější verze PHP ještě neschvaluje; starý systém, jehož nahrazení je už rozhodnuto a má běžet jen několik měsíců; nebo velká kódová základna, jejíž přechod je třeba pečlivě naplánovat. Ve všech třech případech dlouhodobá podpora kupuje čas pro uspořádané řešení. Není řešením pro systémy, o které se už nikdo nechce starat.
Běžel-li starý systém mezi 17. a 21. říjnem nechráněně na internetu, nejprve zjistěte, zda nebyl kompromitován. Dlouhodobá podpora pro již napadený systém nic nechrání.
K tomu patří plán ukončení
Dlouhodobá podpora je dobré rozhodnutí tehdy, když končí k určitému datu. Stanovte, do kdy má aplikace běžet na podporované verzi, kdo odpovídá za migraci a jaké platí mezicíle. Jak dlouho se větve PHP oficiálně udržují, vysvětluje Cyklus vydání PHP.
Zda se vyplatí spíše upgrade, nebo backport pro váš systém, zvažuje článek Upgrade PHP, nebo backport?.
Jak konkrétně pomáhá PHP SOS?
- Posoudit situaci: Kontrolujeme verzi, zdroj balíčků a stav záplat vašich starých systémů a zda vykazují stopy útoku.
- Prověřit nabídky: Písemné sliby poskytovatele dlouhodobé podpory porovnáváme s vaším skutečným stavem.
- Zajistit přemostění: Do upgradu nastavíme přechodná opatření od php.net a omezíme dostupnost.
- Provést ukončení: S migrací z PHP 8.1 a starších plánujeme a testujeme přechod na podporovanou verzi.
Časté dotazy
Co je PHP Extended Support?
Rozumějí se tím nabídky, které verze PHP po oficiálním konci podpory dál zásobují bezpečnostními opravami. Mohou to být linuxové distribuce, repozitáře třetích stran nebo komerční služby jako TuxCare ELS či Zend/HeroDevs.
Pokrývá komerční dlouhodobá podpora PHP2Shell?
TuxCare na svém webu uvádí, že pro skončené verze PHP poskytl opravy PHP2Shell. Pro vaši konkrétní verzi, balíček a operační systém si to přesto nechte písemně potvrdit a ověřte v changelogu.
Je dlouhodobá podpora alternativou k upgradu?
Jen na čas. Udržuje běhové prostředí PHP zaplatované, ne však CMS, rozšíření a vlastní kód, které jsou často rovněž zastaralé. Datum ukončení proto patří do každého rozhodnutí o dlouhodobé podpoře.
Co se stane, když smlouva o dlouhodobé podpoře skončí?
Podle dokumentace cPanelu k TuxCare nainstalované balíčky dál fungují, nedostávají však už nové bezpečnostní aktualizace. Systém je pak opět ve stejné situaci jako dříve, jen později.
Týká se téma i PHP 8.2?
Ano, brzy. PHP 8.2 dostává s 8.2.35 ještě opravu PHP2Shell, 31. 12. 2026 ale dosáhne konce podpory. Kdo provozuje 8.2, měl by přechod plánovat už nyní.