Εν ολίγοις: Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες ενημερώσεις από το έργο PHP. Η μακροχρόνια υποστήριξη, που ονομάζεται και Extended Support, προέρχεται από διανομές Linux, αποθετήρια τρίτων ή εμπορικές υπηρεσίες όπως το TuxCare ELS ή η Zend/HeroDevs. Μπορεί να γεφυρώσει τον χρόνο μέχρι την αναβάθμιση, αν ο πάροχος επιβεβαιώσει γραπτώς την κάλυψη για την έκδοσή σας. Δεν αντικαθιστά όμως ούτε την αναβάθμιση ούτε τη συντήρηση του CMS και του δικού σας κώδικα.
Γιατί το ερώτημα τίθεται ακριβώς τώρα
Στις 21 Οκτωβρίου 2026 κυκλοφόρησαν οι διορθώσεις PHP2Shell μόνο για τους υποστηριζόμενους κλάδους 8.5, 8.4, 8.3 και 8.2. Για τις 7.4, 8.0 και 8.1 το έργο PHP παρείχε μόνο ελάχιστα backports πηγαίου κώδικα, δηλαδή διορθώσεις στον πηγαίο κώδικα χωρίς έτοιμη έκδοση. Σύμφωνα με τον εξειδικευμένο Τύπο επηρεάζονται σχεδόν όλες οι εκδόσεις έως την PHP 5.4.
Πόσο μεγάλο είναι το απόθεμα, δείχνει μια αξιολόγηση της CybelAngel: περίπου 2,24 εκατομμύρια hosts PHP προσβάσιμοι από το διαδίκτυο, εκ των οποίων σύμφωνα με την CybelAngel το 59 τοις εκατό σε εκδόσεις χωρίς επικείμενη επίσημη διόρθωση. Για πολλές επιχειρήσεις το ερώτημα της μακροχρόνιας υποστήριξης δεν είναι πλέον θεωρητικό. Και μεγαλώνει: η PHP 8.2 φτάνει στις 31.12.2026 στο τέλος της υποστήριξης.
Τι χρειάζεται ένα παλιό σύστημα αμέσως τώρα, περιγράφει το PHP 8.1 και παλαιότερες: τι ισχύει τώρα. Αυτό το άρθρο βοηθά στο μεσοπρόθεσμο ερώτημα: ποιος δρόμος αντέχει μέχρι την αναβάθμιση και τι πρέπει να προσφέρει;
PHP Extended Support: οι δρόμοι με μια ματιά
| Δρόμος | Τι προσφέρει | Όρια |
|---|---|---|
| Μακροχρόνια συντήρηση της διανομής | Backports στα πακέτα, όσο υποστηρίζεται η έκδοση της διανομής | μόνο για την έκδοση PHP που φέρνει αυτή η διανομή |
| Αποθετήριο τρίτου | π.χ. sury.org, σύμφωνα με αναφορές με builds από 5.6 έως 8.5 | δεν είναι το αρχείο ασφαλείας της διανομής, ζήτημα εμπιστοσύνης |
| Εμπορική μακροχρόνια υποστήριξη | πακέτα με patch για εκδόσεις που έχουν λήξει, π.χ. TuxCare ELS, Zend/HeroDevs | να επιβεβαιωθεί η κάλυψη ανά έκδοση και CVE, τρέχον κόστος |
| Αυτοκατασκευή από backports πηγαίου κώδικα | δικά builds από τις διορθώσεις του έργου PHP | επίπονο, χρειάζεται ξανά σε κάθε ευπάθεια |
Για τις εμπορικές προσφορές: το TuxCare περιγράφει στον ιστότοπό του διορθώσεις CVE για εκδόσεις που έχουν λήξει από PHP 5.2 έως 8.x, παραδιδόμενες μέσω της υπάρχουσας διαχείρισης πακέτων, για Windows και συνήθεις διανομές Linux. Μια υπόδειξη στην ίδια σελίδα αναφέρει διορθώσεις PHP2Shell για εκδόσεις PHP που έχουν λήξει. Σύμφωνα με την τεκμηρίωση του cPanel, το TuxCare υπόσχεται για ευπάθειες από CVSS 7 διορθώσεις εντός 14 ημερών από τη δημοσίευση· σε διακομιστές cPanel μεταφέρονται γι' αυτό τα domains από ea-php σε alt-php. Για τη Zend/HeroDevs δεν είχαμε δήλωση για την κάλυψη του PHP2Shell.
Υποδείξεις για τον δρόμο του τρίτου παρόχου δίνει το άρθρο Το αποθετήριο sury.org.
Τι χρειάζεστε γραπτώς από τον πάροχο
Η μακροχρόνια υποστήριξη είναι υπηρεσία εμπιστοσύνης. Αγοράζετε την υπόσχεση ότι θα κλείνουν μελλοντικές ευπάθειες. Ζητήστε γι' αυτό πριν από την απόφαση γραπτές απαντήσεις σε αυτά:
- Ποιες ακριβώς εκδόσεις PHP, λειτουργικά συστήματα και ονόματα πακέτων καλύπτονται;
- Είναι οι CVE-2026-109618 και CVE-2026-109619 κλειστές για την έκδοσή σας, με ποιο επίπεδο πακέτου και από πότε;
- Πώς αντιμετωπίζεται η CVE-2026-115560 και μελλοντικές επακόλουθες ανακοινώσεις;
- Περιλαμβάνονται οι επεκτάσεις που χρησιμοποιείτε ή μόνο ο πυρήνας της PHP;
- Πώς ελέγχετε μόνοι σας ότι ένα patch έχει εφαρμοστεί, για παράδειγμα μέσω του changelog του πακέτου;
- Για πόσο διάστημα ισχύει η κάλυψη για την έκδοσή σας και πώς ανακοινώνεται ένα τέλος;
- Τι συμβαίνει με τα εγκατεστημένα πακέτα όταν λήξει η σύμβαση;
Απαντήσεις που παραπέμπουν γενικά σε «όλες τις ευπάθειες ασφαλείας» δεν αρκούν. Για ελεγκτές, ασφαλιστές και τη δική σας τεκμηρίωση μετράει η συγκεκριμένη αντιστοίχιση έκδοσης, πακέτου και CVE.
Τα όρια: τι δεν λύνει η μακροχρόνια υποστήριξη
Η μακροχρόνια υποστήριξη κρατά το runtime PHP ενημερωμένο. Όλα όσα βρίσκονται πάνω από αυτό παραμένουν δική σας υπόθεση. Και ακριβώς εκεί βρίσκεται στα παλιά συστήματα συνήθως το μεγαλύτερο πρόβλημα.
- Η εφαρμογή συνεχίζει να παλιώνει: Ένα CMS ή κατάστημα που χρειάζεται PHP 8.1 δεν βρίσκεται συχνά το ίδιο σε τρέχουσα έκδοση.
- Βιβλιοθήκες και επεκτάσεις: Τα πακέτα Composer και τα plugins συχνά δεν λαμβάνουν πλέον ενημερώσεις για παλιές εκδόσεις PHP.
- Όχι υποκατάσταση της επανεκκίνησης και του ελέγχου: Και τα πακέτα με patch ισχύουν μόνο μετά την επανεκκίνηση όλων των διεργασιών PHP και δεν αφαιρούν κακόβουλο λογισμικό που παρεισέφρησε νωρίτερα.
- Το τεχνικό χρέος μεγαλώνει: Όσο μεγαλύτερη η γέφυρα, τόσο μεγαλύτερο το άλμα στη μετέπειτα μετάβαση.
- Τα τεκμήρια γίνονται πιο επίπονα: Ελεγκτές, πελάτες και ασφαλιστές ρωτούν όλο και συχνότερα για το επίπεδο των patches. Μια λήξασα έκδοση PHP με patches τρίτου παρόχου μπορεί να τεκμηριωθεί, απαιτεί όμως περισσότερη εξήγηση από μια υποστηριζόμενη έκδοση.
Πότε είναι παρ' όλα αυτά η μακροχρόνια υποστήριξη η σωστή επιλογή; Τυπικές είναι τρεις περιπτώσεις: μια εξειδικευμένη εφαρμογή της οποίας ο κατασκευαστής δεν εγκρίνει ακόμη νεότερες εκδόσεις PHP· ένα παλιό σύστημα του οποίου η αντικατάσταση έχει ήδη αποφασιστεί και πρέπει να τρέξει μόνο για λίγους μήνες· ή μια μεγάλη βάση κώδικα της οποίας η μετάβαση πρέπει να σχεδιαστεί προσεκτικά. Και στις τρεις περιπτώσεις η μακροχρόνια υποστήριξη αγοράζει χρόνο για μια οργανωμένη λύση. Δεν είναι λύση για συστήματα για τα οποία δεν θέλει πλέον κανείς να φροντίσει.
Αν ένα παλιό σύστημα έτρεξε μεταξύ 17 και 21 Οκτωβρίου απροστάτευτο στο διαδίκτυο, διευκρινίστε πρώτα αν έχει παραβιαστεί. Η μακροχρόνια υποστήριξη για ένα ήδη προσβεβλημένο σύστημα δεν προστατεύει τίποτα.
Ένα σχέδιο εξόδου ανήκει στο πακέτο
Η μακροχρόνια υποστήριξη είναι καλή απόφαση όταν τελειώνει με ημερομηνία. Ορίστε μέχρι πότε η εφαρμογή πρέπει να τρέχει σε υποστηριζόμενη έκδοση, ποιος είναι υπεύθυνος για τη μετάβαση και ποιοι ενδιάμεσοι στόχοι ισχύουν. Για πόσο διάστημα συντηρούνται επίσημα οι κλάδοι PHP, εξηγεί ο Κύκλος κυκλοφορίας της PHP.
Αν συμφέρει περισσότερο για το σύστημά σας μια αναβάθμιση ή ένα backport, το σταθμίζει το άρθρο Αναβάθμιση PHP ή backport;.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Αξιολόγηση της κατάστασης: Ελέγχουμε έκδοση, πηγή πακέτων και επίπεδο patch των παλιών συστημάτων σας και αν εμφανίζουν ίχνη επίθεσης.
- Έλεγχος προσφορών: Αντιπαραβάλλουμε τις γραπτές δεσμεύσεις ενός παρόχου μακροχρόνιας υποστήριξης με το πραγματικό σας απόθεμα.
- Ασφάλιση της γέφυρας: Μέχρι την αναβάθμιση ορίζουμε τα προσωρινά μέτρα του php.net και περιορίζουμε την προσβασιμότητα.
- Υλοποίηση της εξόδου: Με τη μετάβαση από PHP 8.1 και παλαιότερες σχεδιάζουμε και δοκιμάζουμε την αλλαγή σε υποστηριζόμενη έκδοση.
Συχνές ερωτήσεις
Τι είναι το PHP Extended Support;
Εννοούνται προσφορές που εξακολουθούν να παρέχουν διορθώσεις ασφαλείας σε εκδόσεις PHP μετά το επίσημο τέλος της υποστήριξης. Μπορεί να είναι διανομές Linux, αποθετήρια τρίτων ή εμπορικές υπηρεσίες όπως το TuxCare ELS ή η Zend/HeroDevs.
Καλύπτει η εμπορική μακροχρόνια υποστήριξη το PHP2Shell;
Το TuxCare δηλώνει στον ιστότοπό του ότι έχει παράσχει διορθώσεις PHP2Shell για εκδόσεις PHP που έχουν λήξει. Για τη δική σας έκδοση, το πακέτο και το λειτουργικό σύστημα πρέπει παρ' όλα αυτά να το ζητήσετε γραπτώς και να το ελέγξετε στο changelog.
Είναι η μακροχρόνια υποστήριξη εναλλακτική στην αναβάθμιση;
Μόνο προσωρινά. Διατηρεί το runtime PHP με patch, όχι όμως το CMS, τις επεκτάσεις και τον δικό σας κώδικα, που συχνά είναι επίσης παρωχημένα. Μια ημερομηνία εξόδου ανήκει γι' αυτό σε κάθε απόφαση για μακροχρόνια υποστήριξη.
Τι συμβαίνει όταν λήξει η σύμβαση μακροχρόνιας υποστήριξης;
Σύμφωνα με την τεκμηρίωση του cPanel για το TuxCare, τα εγκατεστημένα πακέτα συνεχίζουν να τρέχουν, δεν λαμβάνουν όμως πλέον νέες ενημερώσεις ασφαλείας. Το σύστημα βρίσκεται τότε ξανά στην ίδια κατάσταση με πριν, μόνο αργότερα.
Ισχύει το θέμα και για την PHP 8.2;
Ναι, σύντομα. Η PHP 8.2 λαμβάνει με την 8.2.35 ακόμη τη διόρθωση PHP2Shell, φτάνει όμως στις 31.12.2026 στο τέλος της υποστήριξης. Όποιος λειτουργεί την 8.2, πρέπει να προγραμματίσει τώρα την αλλαγή.