# Pitkäaikaistuki vanhoille PHP-versioille: vaihtoehdot ja rajat

> PHP Extended Support versioille 8.1 ja vanhemmat: mitä vaihtoehtoja on, mitä toimittajan on vahvistettava kirjallisesti ja miksi pitkäaikaistuki on vain silta.

Lähde: https://phpsos.de/fi/blog/langzeitsupport-alte-php-versionen/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** PHP 8.1:lle ja vanhemmille PHP-projekti ei enää julkaise virallisia päivityksiä. Pitkäaikaistukea, jota kutsutaan myös Extended Supportiksi, tarjoavat Linux-jakelut, kolmannen osapuolen repositoriot tai kaupalliset palvelut kuten TuxCare ELS tai Zend/HeroDevs. Se voi silloittaa ajan päivitykseen asti, jos toimittaja vahvistaa kattavuuden versiollenne kirjallisesti. Se ei kuitenkaan korvaa päivitystä eikä CMS:n ja oman koodin huoltoa.

## Miksi kysymys nousee esiin juuri nyt

PHP2Shell-korjaukset julkaistiin 21. lokakuuta 2026 vain tuetuille haaroille 8.5, 8.4, 8.3 ja 8.2. Versioille 7.4, 8.0 ja 8.1 PHP-projekti on toimittanut vain vähäisiä lähdekoodin backporteja, eli korjauksia lähdekoodiin ilman valmista julkaisua. Ammattilehdistön mukaan lähes kaikki versiot aina PHP 5.4:ään asti ovat haavoittuvia.

Kannan laajuuden osoittaa CybelAngelin selvitys: noin 2,24 miljoonaa internetistä tavoitettavaa PHP-isäntää, joista CybelAngelin mukaan 59 prosenttia toimii versioilla, joille ei ole tulossa virallista korjausta. Monelle yritykselle kysymys pitkäaikaistuesta ei siksi ole enää teoreettinen. Ja se kasvaa: PHP 8.2:n tuki päättyy 31.12.2026.

Mitä vanha järjestelmä tarvitsee heti, kuvaa sivu [PHP 8.1 ja vanhemmat: mitä nyt pätee](https://phpsos.de/fi/php2shell/php-8-1-und-aelter/). Tämä artikkeli auttaa keskipitkän aikavälin kysymyksessä: mikä tie kantaa päivitykseen asti ja mitä sen on tarjottava?

## PHP Extended Support: vaihtoehdot yleiskatsauksena

| Tie | Mitä se tarjoaa | Rajat |
|---|---|---|
| Jakelun pitkäaikaishuolto | Backportit paketeissa niin kauan kuin jakeluversiota tuetaan | vain sille PHP-versiolle, jonka kyseinen jakelu tuo mukanaan |
| Kolmannen osapuolen repositorio | esim. sury.org, raporttien mukaan buildit versioista 5.6 versioon 8.5 | ei jakelun tietoturva-arkisto, luottamuskysymys |
| Kaupallinen pitkäaikaistuki | korjatut paketit päättyneille versioille, esim. TuxCare ELS, Zend/HeroDevs | kattavuus versiota ja CVE:tä kohti vahvistettava, jatkuvat kustannukset |
| Itse rakentaminen lähdekoodin backporteista | omat buildit PHP-projektin korjauksista | työlästä, tarpeen uudelleen jokaisen aukon kohdalla |

Kaupallisista tarjouksista: TuxCare kuvaa verkkosivustollaan CVE-korjauksia päättyneille versioille PHP 5.2:sta 8.x:ään, toimitettuna olemassa olevan paketinhallinnan kautta, Windowsille ja yleisille Linux-jakeluille. Samalla sivulla oleva huomautus ilmoittaa PHP2Shell-korjauksista päättyneille PHP-versioille. cPanelin dokumentaation mukaan TuxCare lupaa korjaukset CVSS 7:stä alkaville aukoille 14 päivän kuluessa julkaisusta; cPanel-palvelimilla domainit siirretään tätä varten ea-php:stä alt-php:hen. Zend/HeroDevsin osalta meillä ei ollut tietoa PHP2Shell-kattavuudesta.

Vihjeitä kolmannen osapuolen tiestä antaa artikkeli [sury.org-repositorio](https://phpsos.de/fi/blog/sury-repository-php/).

## Mitä tarvitsette toimittajalta kirjallisesti

Pitkäaikaistuki on luottamuspalvelu. Ostatte lupauksen siitä, että tulevat aukot suljetaan. Pyytäkää siksi ennen päätöstä kirjalliset vastaukset seuraaviin:

1. Mitkä PHP-versiot, käyttöjärjestelmät ja pakettien nimet täsmälleen katetaan?
2. Onko CVE-2026-109618 ja CVE-2026-109619 suljettu versiollenne, millä paketin tilalla ja mistä lähtien?
3. Miten käsitellään CVE-2026-115560 ja tulevat jatkoilmoitukset?
4. Sisältyvätkö käyttämänne laajennukset vai vain PHP:n ydin?
5. Miten voitte itse tarkistaa, että korjaus on asennettu, esimerkiksi paketin muutoslokista?
6. Kuinka kauan kattavuus versiollenne jatkuu ja miten loppu ilmoitetaan?
7. Mitä asennetuille paketeille tapahtuu, kun sopimus päättyy?

Vastaukset, jotka viittaavat vain yleisesti ”kaikkiin tietoturva-aukkoihin”, eivät riitä. Tarkastajille, vakuutusyhtiöille ja omaan dokumentaatioonne ratkaisevaa on version, paketin ja CVE:n täsmällinen yhdistäminen.

## Rajat: mitä pitkäaikaistuki ei ratkaise

Pitkäaikaistuki pitää PHP-ajoympäristön ajan tasalla. Kaikki sen yläpuolella on edelleen Teidän tehtävänne. Ja juuri siellä on vanhoissa järjestelmissä yleensä suurempi ongelma.

- **Sovellus vanhenee edelleen:** CMS tai verkkokauppa, joka tarvitsee PHP 8.1:n, ei usein itsekään ole enää ajantasaisessa versiossa.
- **Kirjastot ja laajennukset:** Composer-paketit ja lisäosat eivät vanhoille PHP-versioille usein saa enää päivityksiä.
- **Ei korvaa uudelleenkäynnistystä eikä tarkistusta:** Korjatutkin paketit tulevat voimaan vasta, kun kaikki PHP-prosessit on käynnistetty uudelleen, eivätkä ne poista haittaohjelmaa, joka on ehditty lisätä aiemmin.
- **Tekninen velka kasvaa:** Mitä pidempi silta, sitä suurempi hyppy myöhemmässä migraatiossa.
- **Todisteet vaikeutuvat:** Tarkastajat, asiakkaat ja vakuutusyhtiöt kysyvät yhä useammin korjaustilaa. Päättynyt PHP-versio kolmannen osapuolen korjauksilla on todistettavissa, mutta vaatii enemmän selittämistä kuin tuettu versio.

Milloin pitkäaikaistuki on silti oikea valinta? Tyypillisiä tilanteita on kolme: erikoissovellus, jonka valmistaja ei vielä vapauta uudempia PHP-versioita; vanha järjestelmä, jonka korvaaminen on jo päätetty ja jonka pitäisi toimia enää muutaman kuukauden; tai suuri koodikanta, jonka siirto on suunniteltava huolellisesti. Kaikissa kolmessa tapauksessa pitkäaikaistuki ostaa aikaa hallittuun ratkaisuun. Se ei ole ratkaisu järjestelmille, joista kukaan ei halua enää huolehtia.

> **Tärkeää:**
> Jos vanha järjestelmä toimi 17. ja 21. lokakuuta välisenä aikana suojaamattomana internetissä, selvittäkää ensin, onko se vaarantunut. Pitkäaikaistuki jo saastuneelle järjestelmälle ei suojaa mitään.

## Poistumissuunnitelma kuuluu asiaan

Pitkäaikaistuki on hyvä päätös, kun se päättyy päivämäärään. Määrittäkää, mihin mennessä sovelluksen on toimittava tuetulla versiolla, kuka vastaa migraatiosta ja mitkä välitavoitteet pätevät. Kuinka pitkään PHP-haaroja virallisesti huolletaan, selittää [PHP:n julkaisukierto](https://phpsos.de/fi/php/release-zyklus/).

Sen, kannattaako järjestelmällenne enemmän päivitys vai backport, punnitsee artikkeli [PHP-päivitys vai backport?](https://phpsos.de/fi/blog/php-upgrade-oder-backport/).

## Miten PHP SOS auttaa konkreettisesti?

- **Tilanteen arviointi:** Tarkistamme vanhojen järjestelmienne version, pakettilähteen ja korjaustilan sekä sen, näkyykö niissä hyökkäyksen jälkiä.
- **Tarjousten tarkistus:** Vertaamme pitkäaikaistukitoimittajan kirjallisia lupauksia todelliseen kantaanne.
- **Sillan turvaaminen:** Päivitykseen asti asetamme php.netin väliaikaistoimet ja rajaamme saavutettavuutta.
- **Poistumisen toteutus:** [PHP 8.1:n ja vanhempien migraatiolla](https://phpsos.de/fi/leistungen/php-migration-legacy/) suunnittelemme ja testaamme siirtymän tuettuun versioon.


## Usein kysytyt kysymykset

**Mitä PHP Extended Support on?**  
Sillä tarkoitetaan tarjouksia, jotka toimittavat PHP-versioille tietoturvakorjauksia virallisen tuen päättymisen jälkeen. Tarjoajia voivat olla Linux-jakelut, kolmannen osapuolen repositoriot tai kaupalliset palvelut kuten TuxCare ELS tai Zend/HeroDevs.

**Kattaako kaupallinen pitkäaikaistuki PHP2Shellin?**  
TuxCare ilmoittaa verkkosivustollaan toimittaneensa PHP2Shell-korjauksia päättyneille PHP-versioille. Sen kattavuus juuri teidän versiollenne, paketillenne ja käyttöjärjestelmällenne kannattaa silti vahvistuttaa kirjallisesti ja tarkistaa muutoslokista.

**Onko pitkäaikaistuki vaihtoehto päivitykselle?**  
Vain määräajaksi. Se pitää PHP-ajoympäristön korjattuna, mutta ei CMS:ää, laajennuksia eikä omaa koodia, jotka ovat usein myös vanhentuneita. Jokaiseen pitkäaikaistukea koskevaan päätökseen kuuluu siksi poistumispäivämäärä.

**Mitä tapahtuu, kun pitkäaikaistukisopimus päättyy?**  
cPanelin TuxCare-dokumentaation mukaan asennetut paketit jatkavat toimintaansa mutta eivät enää saa uusia tietoturvapäivityksiä. Järjestelmä on silloin jälleen samassa tilanteessa kuin ennenkin, vain myöhemmin.

**Koskeeko aihe myös PHP 8.2:ta?**  
Kyllä, pian. PHP 8.2 saa versiossa 8.2.35 vielä PHP2Shell-korjauksen, mutta tuki päättyy 31.12.2026. Jos käytätte versiota 8.2, suunnitelkaa vaihto nyt.

## Lähteet

- [PHP: tuetut versiot](https://www.php.net/supported-versions.php)
- [TuxCare: Extended Lifecycle Support for PHP](https://tuxcare.com/extended-lifecycle-support/php/)
- [cPanel-dokumentaatio: TuxCare ELS for PHP](https://docs.cpanel.net/knowledge-base/third-party/tuxcare-extended-lifecycle-support-els-php/)
- [CybelAngel: analyysi haavoittuvuuksista CVE-2026-109618 ja CVE-2026-109619](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)