Εν ολίγοις: Το αν η σωστή επιλογή είναι αναβάθμιση PHP ή backport εξαρτάται από το πόσο καιρό θα λειτουργεί ακόμη το σύστημά σας και πόσο καλά τεκμηριώνεται το backport. Ένα backport της δικής σας διανομής σε υποστηριζόμενο λειτουργικό σύστημα είναι ισότιμος δρόμος. Τα backports πηγαίου κώδικα, οι τρίτες πηγές και η εμπορική μακροχρόνια υποστήριξη για την PHP 8.1 και παλαιότερες είναι γέφυρες με ημερομηνία λήξης. Μακροπρόθεσμα βοηθά μόνο η μετάβαση σε έκδοση PHP που το έργο PHP εξακολουθεί να υποστηρίζει επίσημα.
Γιατί το ερώτημα πιέζει μετά το PHP2Shell
Στις 21/10/2026 το έργο PHP διόρθωσε το PHP2Shell στις εκδόσεις 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Για την PHP 8.1 και παλαιότερες δεν υπάρχουν πλέον επίσημες εκδόσεις, μόνο ελάχιστα backports πηγαίου κώδικα για τις 7.4, 8.0 και 8.1. Σύμφωνα με τον τεχνικό τύπο, επηρεάζονται σχεδόν όλες οι εκδόσεις έως και την PHP 5.4.
Έτσι πολλοί διαχειριστές παλιών συστημάτων βρίσκονται μπροστά στο ίδιο ερώτημα: Αρκεί να μπαλώσετε με κάποιον τρόπο την ευπάθεια, ή πρέπει τώρα να γίνει η αναβάθμιση που αναβάλλεται εδώ και χρόνια; Τι σημαίνει πρακτικά μια αναβάθμιση, περιγράφει η προσφορά μας για τη Μετάβαση από την PHP 8.1 και παλαιότερες. Τι ισχύει χωρίς επίσημη ενημέρωση, θα βρείτε στο PHP 8.1 και παλαιότερες: τι ισχύει τώρα. Αυτό το άρθρο βοηθά στη στάθμιση ανάμεσα σε αυτά.
Ποια είδη backport υπάρχουν
Το «backport» είναι συλλογικός όρος. Εννοείται πάντα ότι μια διόρθωση από νεότερη έκδοση μεταφέρεται σε παλαιότερη. Ποιος το κάνει και πόσο καλά ελέγχεται διαφέρει όμως πολύ.
- Backport της διανομής: Η Debian, η Ubuntu, η Red Hat και άλλες ενσωματώνουν διορθώσεις ασφαλείας στα πακέτα PHP των υποστηριζόμενων εκδόσεών τους. Ο αριθμός έκδοσης συχνά παραμένει ο ίδιος· σύμφωνα με αναφορές, η Ubuntu 24.04 δείχνει, για παράδειγμα, μετά την ενημέρωση ακόμη 8.3.6. Η διόρθωση τεκμηριώνεται μέσω του changelog του πακέτου και των ανακοινώσεων ασφαλείας της διανομής.
- Τρίτη πηγή: Το αποθετήριο sury.org του Ondřej Surý παρείχε, σύμφωνα με αναφορές, builds για όλους τους κλάδους από την 5.6 έως την 8.5. Δεν είναι το αρχείο ασφαλείας της Debian. Λεπτομέρειες στο Το αποθετήριο sury.org.
- Backport πηγαίου κώδικα του έργου PHP: Για τις 7.4, 8.0 και 8.1 υπάρχουν ελάχιστα patches στον πηγαίο κώδικα, αλλά όχι έτοιμες εκδόσεις. Όποιος τα χρησιμοποιεί, πρέπει να χτίσει την PHP μόνος του, να τη δοκιμάσει και να τη συντηρεί στο εξής μόνος.
- Εμπορική μακροχρόνια υποστήριξη: Πάροχοι όπως το TuxCare ELS ή οι Zend/HeroDevs προσφέρουν συντήρηση για παλιές εκδόσεις. Το αν και πότε καλύπτουν το PHP2Shell πρέπει να επιβεβαιωθεί γραπτά· στις γνωστές πηγές αυτό δεν τεκμηριωνόταν. Περισσότερα στο Μακροχρόνια υποστήριξη για παλιές εκδόσεις PHP.
Αναβάθμιση PHP ή backport: η σύγκριση
| Κριτήριο | Αναβάθμιση σε υποστηριζόμενη έκδοση | Backport (ανάλογα με το είδος) |
|---|---|---|
| Προστασία από το PHP2Shell | Ναι, με 8.2.35, 8.3.36, 8.4.27 ή 8.5.12 | Ναι, αν είναι πλήρες και τεκμηριωμένο |
| Μελλοντικές ενημερώσεις ασφαλείας | Επίσημα μέχρι τη λήξη υποστήριξης της έκδοσης | Μόνο όσο συντηρεί ο εκάστοτε πάροχος |
| Απόδειξη | Αριθμός έκδοσης και επανεκκίνηση | Changelog πακέτου με αριθμούς CVE, επιβεβαίωση του παρόχου |
| Προσπάθεια τώρα | Μέτρια έως υψηλή, απαιτούνται δοκιμές συμβατότητας | Μικρή στη διανομή, υψηλή στο δικό σας χτίσιμο |
| Προσπάθεια αργότερα | Μικρή έως το επόμενο άλμα έκδοσης | Αυξάνεται με κάθε νέα ευπάθεια |
| Κίνδυνος για την εφαρμογή | Ασυμβατότητες με παλιό κώδικα και επεκτάσεις | Μικρός, η συμπεριφορά παραμένει σε μεγάλο βαθμό ίδια |
| Καταλληλότητα ως μόνιμη λύση | Ναι | Μόνο το backport της διανομής στο πλαίσιο ενός υποστηριζόμενου λειτουργικού συστήματος |
Η γραμμή «προσπάθεια αργότερα» είναι η σημαντικότερη. Το PHP2Shell δεν θα είναι η τελευταία ευπάθεια. Κάθε μήνας σε μια έκδοση χωρίς επίσημη υποστήριξη σημαίνει ότι η επόμενη ανακοίνωση θα θέσει πάλι το ίδιο ερώτημα.
Ποια έκδοση-στόχος στην αναβάθμιση;
Σύμφωνα με το php.net, για κάθε κλάδο PHP ισχύει: δύο χρόνια ενεργής υποστήριξης, έπειτα δύο χρόνια μόνο διορθώσεις ασφαλείας. Από αυτό προκύπτουν οι εξής ημερομηνίες λήξης της υποστήριξης ασφαλείας:
| Έκδοση | Υποστήριξη ασφαλείας έως |
|---|---|
| PHP 8.2 | 31/12/2026 |
| PHP 8.3 | 31/12/2027 |
| PHP 8.4 | 31/12/2028 |
| PHP 8.5 | 31/12/2029 |
Μια αναβάθμιση στην 8.2 είναι γι' αυτό μόνο ένας σύντομος ενδιάμεσος σταθμός. Όποιος ούτως ή άλλως μεταβαίνει, πρέπει να στοχεύσει σε έκδοση με μακρύτερο ορίζοντα, εφόσον τη στηρίζουν το CMS, το e-shop και οι επεκτάσεις. Αυτό το ελέγχετε στις απαιτήσεις συστήματος του κατασκευαστή και όχι από μνήμης. Πώς λειτουργεί ο κύκλος εκδόσεων, εξηγεί το Εκδόσεις PHP και κύκλος εκδόσεων.
Όποιον δρόμο κι αν επιλέξετε: μετά την εγκατάσταση πρέπει να επανεκκινηθούν όλες οι διεργασίες PHP. Ένα backport που βρίσκεται μόνο στον δίσκο δεν προστατεύει όσο στη μνήμη εκτελούνται παλιοί workers.
Μια πραγματιστική σειρά για παλιά συστήματα
- Άμεσα: Εφαρμόστε προσωρινά μέτρα κατά το php.net ή θέστε το σύστημα προσωρινά εκτός δικτύου, αν δεν είναι διαθέσιμη τεκμηριωμένη διόρθωση.
- Τις επόμενες ημέρες: Εγκαταστήστε ένα τεκμηριωμένο backport, κατά προτίμηση από τη δική σας διανομή ή με γραπτή επιβεβαίωση του παρόχου.
- Παράλληλα: Ελέγξτε τη συμβατότητα της εφαρμογής με μια υποστηριζόμενη έκδοση και καθορίστε χρονοδιάγραμμα.
- Τους επόμενους μήνες: Αναβάθμιση στην έκδοση-στόχο, προετοιμασμένη σε δοκιμαστικό αντίγραφο, με σχέδιο επαναφοράς.
Το να βλέπετε το backport ως γέφυρα και όχι ως στόχο είναι η καθοριστική σκέψη.
Πότε δεν χρειάζεστε γι' αυτό πάροχο υπηρεσιών
Αν ο διακομιστής σας λειτουργεί σε υποστηριζόμενη Debian, Ubuntu ή RHEL και η διανομή παρέχει το backport, αρκεί μια τακτική ενημέρωση με επανεκκίνηση και μια ματιά στο changelog. Αυτό το καταφέρνει ένας έμπειρος διαχειριστής μόνος του. Η βοήθεια αξίζει σε δικές σας κατασκευές, τρίτες πηγές, πολύ παλιές εκδόσεις ή εφαρμογή της οποίας τη συμβατότητα δεν επιβλέπει πια κανείς.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Ελέγχουμε ποιες εκδόσεις PHP και πηγές πακέτων λειτουργούν στους διακομιστές σας και αν υπάρχει τεκμηριωμένη διόρθωση.
- Εγκαθιστούμε backports, επανεκκινούμε και τεκμηριώνουμε την απόδειξη μέσω του changelog.
- Δοκιμάζουμε την εφαρμογή σας σε αντίγραφο έναντι της έκδοσης-στόχου και ονομάζουμε τις ασυμβατότητες.
- Σχεδιάζουμε και συνοδεύουμε την αναβάθμιση στο πλαίσιο της μετάβασης από την PHP 8.1 και παλαιότερες.
Συμπέρασμα
Το backport της διανομής είναι ισότιμος δρόμος, όλα τα άλλα backports είναι γέφυρες. Όποιος έχει κολλήσει στην PHP 8.1 ή παλαιότερη, πρέπει να χρησιμοποιήσει το backport για να κερδίσει χρόνο για την αναβάθμιση και όχι για να την αναβάλει περαιτέρω.
Συχνές ερωτήσεις
Είναι ένα backport εξίσου ασφαλές με μια αναβάθμιση;
Για τη συγκεκριμένη ευπάθεια που διορθώθηκε, ένα backport μπορεί να είναι ισοδύναμο, αν είναι πλήρες και τεκμηριωμένο. Διορθώνει όμως μόνο ό,τι μεταφέρθηκε προς τα πίσω. Μια αναβάθμιση σε υποστηριζόμενη έκδοση φέρνει επιπλέον όλες τις μελλοντικές επίσημες ενημερώσεις ασφαλείας.
Πώς αναγνωρίζω ότι το backport μου καλύπτει το PHP2Shell;
Από το changelog του πακέτου: εκεί πρέπει να αναφέρονται οι αριθμοί CVE CVE-2026-109618 και CVE-2026-109619. Σε Debian και Ubuntu το δείχνει το apt-get changelog, στην οικογένεια RHEL το rpm -q --changelog. Ο αριθμός έκδοσης από μόνος του δεν αποτελεί τεκμήριο.
Μέχρι πότε λαμβάνει η PHP 8.2 ενημερώσεις ασφαλείας;
Σύμφωνα με το php.net, η υποστήριξη ασφαλείας για την PHP 8.2 λήγει στις 31/12/2026. Όποιος αναβαθμίζει σήμερα στην 8.2, πρέπει επομένως να προγραμματίσει αμέσως και το επόμενο βήμα.
Αξίζει η εμπορική μακροχρόνια υποστήριξη για παλιές εκδόσεις PHP;
Μπορεί να είναι μια γέφυρα, αν η αναβάθμιση είναι βραχυπρόθεσμα αδύνατη. Ζητήστε γραπτή επιβεβαίωση αν και από πότε καλύπτεται το PHP2Shell. Στις μέχρι τώρα γνωστές πηγές αυτό δεν τεκμηριωνόταν.