# PHP nadogradnja ili backport? Odluka za stare sustave

> PHP nadogradnja ili backport nakon PHP2Shella? Koje vrste backportova postoje, što vrijede i kada pomaže samo prelazak na podržanu verziju.

Izvor: https://phpsos.de/hr/blog/php-upgrade-oder-backport/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Je li PHP nadogradnja ili backport pravi izbor, ovisi o tome koliko dugo Vaš sustav još treba raditi i koliko je backport dobro dokazan. Backport vlastite distribucije na podržanom operacijskom sustavu je ravnopravan put. Backportovi izvornog koda, izvori trećih strana i komercijalna dugoročna podrška za PHP 8.1 i starije su mostovi s rokom trajanja. Dugoročno pomaže samo prelazak na verziju PHP-a koju PHP projekt još službeno podržava.

## Zašto pitanje nakon PHP2Shella hitno traži odgovor

Dana 21. 10. 2026. PHP projekt otklonio je PHP2Shell u verzijama 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih izdanja, samo minimalni backportovi izvornog koda za 7.4, 8.0 i 8.1. Prema stručnom tisku pogođene su gotovo sve verzije unatrag do PHP-a 5.4.

Time se mnogi operateri starih sustava suočavaju s istim pitanjem: je li dovoljno ranjivost nekako zakrpati ili sada mora doći nadogradnja koja se godinama odgađa? Što nadogradnja praktički znači, opisuje naša ponuda [migracije s PHP-a 8.1 i starijeg](https://phpsos.de/hr/leistungen/php-migration-legacy/). Što vrijedi bez službenog ažuriranja, piše u članku [PHP 8.1 i stariji: što sada vrijedi](https://phpsos.de/hr/php2shell/php-8-1-und-aelter/). Ovaj članak pomaže pri odvagivanju između toga.

## Koje vrste backportova postoje

„Backport“ je skupni pojam. Uvijek se misli na to da se ispravak iz novije verzije preuzima u stariju. Tko to čini i koliko je dobro provjereno, međutim, jako se razlikuje.

1. **Backport distribucije:** Debian, Ubuntu, Red Hat i drugi preuzimaju sigurnosne ispravke u PHP pakete svojih podržanih izdanja. Broj verzije pritom često ostaje isti; prema izvješćima primjerice Ubuntu 24.04 nakon ažuriranja i dalje prikazuje 8.3.6. Ispravak se dokazuje changelogom paketa i sigurnosnim obavijestima distribucije.
2. **Izvor treće strane:** Repozitorij sury.org Ondřeja Surýja prema izvješćima stavio je na raspolaganje buildove za sve grane od 5.6 do 8.5. To nije sigurnosni arhiv Debiana. Pojedinosti su u članku [Repozitorij sury.org](https://phpsos.de/hr/blog/sury-repository-php/).
3. **Backport izvornog koda PHP projekta:** Za 7.4, 8.0 i 8.1 postoje minimalne zakrpe u izvornom kodu, ali ne i gotova izdanja. Tko ih koristi, mora PHP sam izgraditi, testirati i ubuduće sam održavati.
4. **Komercijalna dugoročna podrška:** Ponuditelji poput TuxCare ELS ili Zend/HeroDevs nude održavanje starih verzija. Pokrivaju li i od kada PHP2Shell, mora se potvrditi pisano; to u poznatim izvorima nije bilo dokazano. Više o tome u članku [Dugoročna podrška za stare verzije PHP-a](https://phpsos.de/hr/blog/langzeitsupport-alte-php-versionen/).

## PHP nadogradnja ili backport: usporedba

| Kriterij | Nadogradnja na podržanu verziju | Backport (ovisno o vrsti) |
|---|---|---|
| Zaštita od PHP2Shella | Da, s 8.2.35, 8.3.36, 8.4.27 ili 8.5.12 | Da, ako je potpun i dokazan |
| Buduća sigurnosna ažuriranja | Službeno do kraja podrške verzije | Samo dok pojedini pružatelj održava |
| Dokaz | Broj verzije plus ponovno pokretanje | Changelog paketa s CVE brojevima, potvrda pružatelja |
| Trud sada | Srednji do visok, potrebni testovi kompatibilnosti | Mali kod distribucije, velik kod vlastite izgradnje |
| Trud poslije | Mali do sljedećeg skoka verzije | Raste sa svakom novom ranjivošću |
| Rizik za aplikaciju | Nekompatibilnosti sa starim kodom i proširenjima | Mali, ponašanje ostaje većinom isto |
| Prikladnost kao trajno rješenje | Da | Samo backport distribucije u okviru podržanog operacijskog sustava |

Redak „Trud poslije“ je najvažniji. PHP2Shell neće biti posljednja ranjivost. Svaki mjesec na verziji bez službene podrške znači da će sljedeća obavijest ponovno otvoriti isto pitanje.

## Koja ciljna verzija kod nadogradnje?

Prema php.net-u za svaku PHP granu vrijedi: dvije godine aktivne podrške, zatim dvije godine samo sigurnosnih ispravaka. Iz toga proizlaze ovi datumi završetka sigurnosne podrške:

| Verzija | Sigurnosna podrška do |
|---|---|
| PHP 8.2 | 31. 12. 2026. |
| PHP 8.3 | 31. 12. 2027. |
| PHP 8.4 | 31. 12. 2028. |
| PHP 8.5 | 31. 12. 2029. |

Nadogradnja na 8.2 stoga je tek kratka međustanica. Tko ionako migrira, trebao bi ciljati verziju s duljim horizontom, ako je CMS, shop i proširenja podržavaju. To provjeravate u sistemskim zahtjevima proizvođača, a ne iz sjećanja. Kako funkcionira ciklus izdanja, objašnjava [PHP verzije i ciklus izdanja](https://phpsos.de/hr/php/release-zyklus/).

> **Važno:**
> Bez obzira na put: nakon instalacije moraju se ponovno pokrenuti svi PHP procesi. Backport koji samo leži na disku ne štiti dok u memoriji rade stari workeri.

## Pragmatičan redoslijed za stare sustave

1. **Odmah:** Postaviti prijelazne mjere prema php.net-u ili sustav privremeno skinuti s mreže ako nije dostupan dokazan ispravak.
2. **U idućim danima:** Instalirati dokazan backport, po mogućnosti iz vlastite distribucije ili uz pisanu potvrdu pružatelja.
3. **Paralelno:** Provjeriti kompatibilnost aplikacije s podržanom verzijom i utvrditi vremenski plan.
4. **U idućim mjesecima:** Nadogradnja na ciljnu verziju, pripremljena u testnoj kopiji, s planom povratka.

Backport gledati kao most, a ne kao cilj, odlučujuća je misao.

### Kada Vam za to nije potreban pružatelj usluga

Ako Vaš poslužitelj radi na podržanom Debianu, Ubuntuu ili RHEL-u i distribucija isporučuje backport, dovoljni su redovito ažuriranje s ponovnim pokretanjem i pogled u changelog. To iskusan administrator uspijeva sam. Pomoć se isplati kod vlastitih izgradnji, izvora trećih strana, vrlo starih verzija ili aplikacije čiju kompatibilnost nitko više ne nadzire.

## Kako PHP SOS konkretno pomaže?

- Provjeravamo koje verzije PHP-a i izvori paketa rade na Vašim poslužiteljima i postoji li dokazan ispravak.
- Instaliramo backportove, ponovno pokrećemo i dokumentiramo dokaz putem changelogu.
- Testiramo Vašu aplikaciju u kopiji prema ciljnoj verziji i imenujemo nekompatibilnosti.
- Planiramo i pratimo nadogradnju u okviru [migracije s PHP-a 8.1 i starijeg](https://phpsos.de/hr/leistungen/php-migration-legacy/).

## Zaključak

Backport distribucije je ravnopravan put, svi ostali backportovi su mostovi. Tko zapne na PHP-u 8.1 ili starijem, trebao bi backport iskoristiti da dobije vremena za nadogradnju, a ne da je dalje odgađa.


## Česta pitanja

**Je li backport jednako siguran kao nadogradnja?**  
Za konkretno otklonjenu ranjivost backport može biti ravnopravan ako je potpun i dokazan. Ali otklanja samo ono što je preneseno. Nadogradnja na podržanu verziju donosi uz to i sva buduća službena sigurnosna ažuriranja.

**Kako prepoznati da moj backport pokriva PHP2Shell?**  
Po changelogu paketa: tamo bi trebali biti navedeni CVE brojevi CVE-2026-109618 i CVE-2026-109619. Na Debianu i Ubuntuu to pokazuje apt-get changelog, u obitelji RHEL rpm -q --changelog. Sam broj verzije nije dokaz.

**Koliko dugo PHP 8.2 još dobiva sigurnosna ažuriranja?**  
Prema php.net-u sigurnosna podrška za PHP 8.2 završava 31. 12. 2026. Tko danas ažurira na 8.2, sljedeći korak treba odmah planirati.

**Isplati li se komercijalna dugoročna podrška za stare verzije PHP-a?**  
Može biti most ako je nadogradnja kratkoročno nemoguća. Neka Vam pisano potvrde pokriva li i od kada PHP2Shell. U dosad poznatim izvorima to nije bilo dokazano.

## Izvori

- [PHP: podržane verzije](https://www.php.net/supported-versions.php)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [Debian Security Tracker](https://security-tracker.debian.org/)
- [Ubuntu Security Notices](https://ubuntu.com/security/notices)