Röviden: A PHP 8.1-hez és a régebbiekhez a PHP-projekt már nem ad ki hivatalos frissítéseket. A hosszú távú támogatás, más néven Extended Support, Linux-disztribúcióktól, harmadik féltől származó tárolóktól vagy kereskedelmi szolgáltatásoktól, például a TuxCare ELS-től vagy a Zend/HeroDevstől érkezik. Áthidalhatja a frissítésig tartó időt, ha a szolgáltató írásban megerősíti a lefedettséget az Ön verziójára. A frissítést azonban nem pótolja, és a CMS és a saját kód gondozását sem.
Miért kerül éppen most asztalra a kérdés
- október 21-én a PHP2Shell-javítások csak a támogatott 8.5, 8.4, 8.3 és 8.2 ágakhoz jelentek meg. A 7.4-hez, a 8.0-hoz és a 8.1-hez a PHP-projekt csupán minimális forráskód-backportokat bocsátott rendelkezésre, vagyis a forráskódban lévő javításokat kész kiadás nélkül. A szakmai sajtó szerint a PHP 5.4-ig szinte minden verzió érintett.
Hogy mekkora az állomány, azt a CybelAngel elemzése mutatja: nagyjából 2,24 millió az internetről elérhető PHP-host, ezek közül a CybelAngel szerint 59 százalék olyan verzión fut, amelyhez nem várható hivatalos javítás. Sok vállalatnak a hosszú távú támogatás kérdése így már nem elméleti. És egyre nagyobb lesz: a PHP 8.2 2026. december 31-én eléri a támogatás végét.
Hogy egy régi rendszernek azonnal mire van szüksége, azt a PHP 8.1 és régebbi: mi érvényes most írja le. Ez a cikk a középtávú kérdésben segít: melyik út visz el a frissítésig, és mit kell nyújtania?
PHP Extended Support: az utak áttekintése
| Út | Mit nyújt | Korlátok |
|---|---|---|
| A disztribúció hosszú távú gondozása | backportok a csomagokban, amíg a disztribúció verziója támogatott | csak arra a PHP-verzióra, amelyet ez a disztribúció hoz magával |
| Harmadik féltől származó tároló | pl. sury.org, a beszámolók szerint az 5.6-tól a 8.5-ig terjedő buildekkel | nem a disztribúció biztonsági archívuma, bizalmi kérdés |
| Kereskedelmi hosszú távú támogatás | javított csomagok lejárt verziókhoz, pl. TuxCare ELS, Zend/HeroDevs | a lefedettséget verziónként és CVE-nként meg kell erősíttetni, folyamatos költségek |
| Saját építés a forráskód-backportokból | saját buildek a PHP-projekt javításaiból | költséges, minden résnél újra szükséges |
A kereskedelmi ajánlatokról: a TuxCare a weboldalán CVE-javításokat ír le a PHP 5.2-től a 8.x-ig lejárt verziókhoz, a meglévő csomagkezelőn keresztül szállítva, Windowsra és elterjedt Linux-disztribúciókra. Ugyanazon az oldalon egy megjegyzés PHP2Shell-javításokat jelez a lejárt PHP-verziókhoz. A cPanel-dokumentáció szerint a TuxCare a CVSS 7-től kezdődő réseknél a közzétételtől számított 14 napon belüli javítást ígér; cPanel-szervereken ehhez a domaineket ea-php-ről alt-php-re állítják át. A Zend/HeroDevsről nem állt rendelkezésünkre állítás a PHP2Shell-lefedettségről.
A harmadik féltől származó útról a A sury.org tároló cikk ad tájékoztatást.
Mit kell írásban kérnie a szolgáltatótól
A hosszú távú támogatás bizalmi szolgáltatás. Azt az ígéretet veszi meg, hogy a jövőbeli réseket be fogják zárni. Ezért a döntés előtt kérjen írásos választ a következőkre:
- Mely PHP-verziók, operációs rendszerek és csomagnevek vannak pontosan lefedve?
- Le vannak zárva a CVE-2026-109618 és a CVE-2026-109619 az Ön verziójára, milyen csomagállapottal és mióta?
- Hogyan kezelik a CVE-2026-115560-at és a jövőbeli folytatólagos közleményeket?
- Az Ön által használt bővítmények benne vannak, vagy csak a PHP-mag?
- Hogyan ellenőrizheti maga, hogy egy javítás telepítve van, például a csomag changelogján keresztül?
- Meddig tart a lefedettség az Ön verziójára, és hogyan jelentik be a végét?
- Mi lesz a telepített csomagokkal, ha a szerződés megszűnik?
Az olyan válaszok, amelyek csak általánosan az „összes biztonsági résre” hivatkoznak, nem elegendők. Ellenőrök, biztosítók és a saját dokumentáció számára a verzió, a csomag és a CVE konkrét hozzárendelése számít.
A korlátok: amit a hosszú távú támogatás nem old meg
A hosszú távú támogatás a PHP-futtatókörnyezetet tartja naprakészen. Minden, ami fölötte van, továbbra is az Ön feladata. És a régi rendszereknél többnyire éppen ott van a nagyobb probléma.
- Az alkalmazás tovább avul: Az a CMS vagy webshop, amelynek PHP 8.1-re van szüksége, gyakran maga sem a jelenlegi verzióban van használatban.
- Könyvtárak és bővítmények: A Composer-csomagok és a pluginok a régi PHP-verziókhoz gyakran már nem kapnak frissítéseket.
- Nem helyettesíti az újraindítást és az ellenőrzést: A javított csomagok is csak az összes PHP-folyamat újraindítása után hatnak, és nem távolítják el a korábban beszúrt kártevőt.
- A technikai adósság nő: Minél hosszabb az áthidalás, annál nagyobb az ugrás a későbbi migrációnál.
- Az igazolások költségesebbek: Az ellenőrök, ügyfelek és biztosítók egyre gyakrabban kérdeznek a javítási állapotról. Egy lejárt PHP-verzió harmadik fél javításaival igazolható, de több magyarázatot igényel, mint egy támogatott verzió.
Mikor a hosszú távú támogatás mégis a helyes választás? Három helyzet tipikus: egy szakalkalmazás, amelynek gyártója az újabb PHP-verziókat még nem engedélyezi; egy régi rendszer, amelynek leváltását már eldöntötték, és csak néhány hónapig kell még futnia; vagy egy nagy kódbázis, amelynek átállítását gondosan meg kell tervezni. Mindhárom esetben a hosszú távú támogatás időt vesz egy rendezett megoldáshoz. Nem megoldás azokra a rendszerekre, amelyekkel senki sem akar többé foglalkozni.
Ha egy régi rendszer október 17. és 21. között védtelenül futott az interneten, először tisztázza, nem kompromittálták-e. A hosszú távú támogatás egy már megfertőzött rendszert semmitől sem véd.
Kiszállási terv is kell
A hosszú távú támogatás akkor jó döntés, ha egy dátummal ér véget. Rögzítse, mikorra kell az alkalmazásnak támogatott verzión futnia, ki felel a migrációért, és milyen részcélok érvényesek. Hogy a PHP-ágakat meddig gondozzák hivatalosan, azt A PHP kiadási ciklusa magyarázza.
Hogy egy frissítés vagy egy backport éri-e meg jobban az Ön rendszerénél, azt a PHP-frissítés vagy backport? cikk mérlegeli.
Hogyan segít konkrétan a PHP SOS?
- A helyzet értékelése: Ellenőrizzük a régi rendszerei verzióját, csomagforrását és javítási állapotát, valamint azt, hogy mutatnak-e támadásra utaló nyomokat.
- Az ajánlatok vizsgálata: Összevetjük egy hosszú távú támogatást nyújtó szolgáltató írásos vállalásait a tényleges állományával.
- Az áthidalás biztosítása: A frissítésig beállítjuk a php.net átmeneti intézkedéseit, és korlátozzuk az elérhetőséget.
- A kiszállás megvalósítása: A PHP 8.1 és régebbi verziók migrálásával megtervezzük és teszteljük az átállást egy támogatott verzióra.
Gyakori kérdések
Mi az a PHP Extended Support?
Olyan ajánlatok, amelyek a hivatalos támogatás vége után is ellátják a PHP-verziókat biztonsági javításokkal. Ezek lehetnek Linux-disztribúciók, harmadik féltől származó tárolók vagy kereskedelmi szolgáltatások, például a TuxCare ELS vagy a Zend/HeroDevs.
Lefedi a kereskedelmi hosszú távú támogatás a PHP2Shellt?
A TuxCare a weboldalán azt közli, hogy PHP2Shell-javításokat bocsátott rendelkezésre a lejárt PHP-verziókhoz. Az Ön konkrét verziójára, csomagjára és operációs rendszerére vonatkozóan ennek ellenére írásban erősíttesse meg, és ellenőrizze a changelogban.
Alternatíva a hosszú távú támogatás a frissítésre?
Csak időlegesen. A PHP-futtatókörnyezetet javított állapotban tartja, de nem a CMS-t, a bővítményeket és a saját kódot, amelyek gyakran szintén elavultak. A hosszú távú támogatásról szóló minden döntésnek ezért kell kiszállási dátum.
Mi történik, ha lejár a hosszú távú támogatási szerződés?
A cPanel TuxCare-ra vonatkozó dokumentációja szerint a telepített csomagok tovább futnak, de új biztonsági frissítéseket már nem kapnak. A rendszer ekkor ugyanabban a helyzetben van, mint korábban, csak később.
Érvényes ez a téma a PHP 8.2-re is?
Igen, hamarosan. A PHP 8.2 a 8.2.35-tel még megkapja a PHP2Shell-javítást, de 2026. december 31-én eléri a támogatás végét. Aki 8.2-t üzemeltet, most tervezze meg a váltást.