# Hosszú távú támogatás régi PHP-verziókhoz: lehetőségek és korlátok

> PHP Extended Support a 8.1 és régebbi verziókhoz: milyen utak léteznek, mit kell a szolgáltatónak írásban megerősítenie, és miért csak áthidaló megoldás.

Forrás: https://phpsos.de/hu/blog/langzeitsupport-alte-php-versionen/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A PHP 8.1-hez és a régebbiekhez a PHP-projekt már nem ad ki hivatalos frissítéseket. A hosszú távú támogatás, más néven Extended Support, Linux-disztribúcióktól, harmadik féltől származó tárolóktól vagy kereskedelmi szolgáltatásoktól, például a TuxCare ELS-től vagy a Zend/HeroDevstől érkezik. Áthidalhatja a frissítésig tartó időt, ha a szolgáltató írásban megerősíti a lefedettséget az Ön verziójára. A frissítést azonban nem pótolja, és a CMS és a saját kód gondozását sem.

## Miért kerül éppen most asztalra a kérdés

2026. október 21-én a PHP2Shell-javítások csak a támogatott 8.5, 8.4, 8.3 és 8.2 ágakhoz jelentek meg. A 7.4-hez, a 8.0-hoz és a 8.1-hez a PHP-projekt csupán minimális forráskód-backportokat bocsátott rendelkezésre, vagyis a forráskódban lévő javításokat kész kiadás nélkül. A szakmai sajtó szerint a PHP 5.4-ig szinte minden verzió érintett.

Hogy mekkora az állomány, azt a CybelAngel elemzése mutatja: nagyjából 2,24 millió az internetről elérhető PHP-host, ezek közül a CybelAngel szerint 59 százalék olyan verzión fut, amelyhez nem várható hivatalos javítás. Sok vállalatnak a hosszú távú támogatás kérdése így már nem elméleti. És egyre nagyobb lesz: a PHP 8.2 2026. december 31-én eléri a támogatás végét.

Hogy egy régi rendszernek azonnal mire van szüksége, azt a [PHP 8.1 és régebbi: mi érvényes most](https://phpsos.de/hu/php2shell/php-8-1-und-aelter/) írja le. Ez a cikk a középtávú kérdésben segít: melyik út visz el a frissítésig, és mit kell nyújtania?

## PHP Extended Support: az utak áttekintése

| Út | Mit nyújt | Korlátok |
|---|---|---|
| A disztribúció hosszú távú gondozása | backportok a csomagokban, amíg a disztribúció verziója támogatott | csak arra a PHP-verzióra, amelyet ez a disztribúció hoz magával |
| Harmadik féltől származó tároló | pl. sury.org, a beszámolók szerint az 5.6-tól a 8.5-ig terjedő buildekkel | nem a disztribúció biztonsági archívuma, bizalmi kérdés |
| Kereskedelmi hosszú távú támogatás | javított csomagok lejárt verziókhoz, pl. TuxCare ELS, Zend/HeroDevs | a lefedettséget verziónként és CVE-nként meg kell erősíttetni, folyamatos költségek |
| Saját építés a forráskód-backportokból | saját buildek a PHP-projekt javításaiból | költséges, minden résnél újra szükséges |

A kereskedelmi ajánlatokról: a TuxCare a weboldalán CVE-javításokat ír le a PHP 5.2-től a 8.x-ig lejárt verziókhoz, a meglévő csomagkezelőn keresztül szállítva, Windowsra és elterjedt Linux-disztribúciókra. Ugyanazon az oldalon egy megjegyzés PHP2Shell-javításokat jelez a lejárt PHP-verziókhoz. A cPanel-dokumentáció szerint a TuxCare a CVSS 7-től kezdődő réseknél a közzétételtől számított 14 napon belüli javítást ígér; cPanel-szervereken ehhez a domaineket ea-php-ről alt-php-re állítják át. A Zend/HeroDevsről nem állt rendelkezésünkre állítás a PHP2Shell-lefedettségről.

A harmadik féltől származó útról a [A sury.org tároló](https://phpsos.de/hu/blog/sury-repository-php/) cikk ad tájékoztatást.

## Mit kell írásban kérnie a szolgáltatótól

A hosszú távú támogatás bizalmi szolgáltatás. Azt az ígéretet veszi meg, hogy a jövőbeli réseket be fogják zárni. Ezért a döntés előtt kérjen írásos választ a következőkre:

1. Mely PHP-verziók, operációs rendszerek és csomagnevek vannak pontosan lefedve?
2. Le vannak zárva a CVE-2026-109618 és a CVE-2026-109619 az Ön verziójára, milyen csomagállapottal és mióta?
3. Hogyan kezelik a CVE-2026-115560-at és a jövőbeli folytatólagos közleményeket?
4. Az Ön által használt bővítmények benne vannak, vagy csak a PHP-mag?
5. Hogyan ellenőrizheti maga, hogy egy javítás telepítve van, például a csomag changelogján keresztül?
6. Meddig tart a lefedettség az Ön verziójára, és hogyan jelentik be a végét?
7. Mi lesz a telepített csomagokkal, ha a szerződés megszűnik?

Az olyan válaszok, amelyek csak általánosan az „összes biztonsági résre” hivatkoznak, nem elegendők. Ellenőrök, biztosítók és a saját dokumentáció számára a verzió, a csomag és a CVE konkrét hozzárendelése számít.

## A korlátok: amit a hosszú távú támogatás nem old meg

A hosszú távú támogatás a PHP-futtatókörnyezetet tartja naprakészen. Minden, ami fölötte van, továbbra is az Ön feladata. És a régi rendszereknél többnyire éppen ott van a nagyobb probléma.

- **Az alkalmazás tovább avul:** Az a CMS vagy webshop, amelynek PHP 8.1-re van szüksége, gyakran maga sem a jelenlegi verzióban van használatban.
- **Könyvtárak és bővítmények:** A Composer-csomagok és a pluginok a régi PHP-verziókhoz gyakran már nem kapnak frissítéseket.
- **Nem helyettesíti az újraindítást és az ellenőrzést:** A javított csomagok is csak az összes PHP-folyamat újraindítása után hatnak, és nem távolítják el a korábban beszúrt kártevőt.
- **A technikai adósság nő:** Minél hosszabb az áthidalás, annál nagyobb az ugrás a későbbi migrációnál.
- **Az igazolások költségesebbek:** Az ellenőrök, ügyfelek és biztosítók egyre gyakrabban kérdeznek a javítási állapotról. Egy lejárt PHP-verzió harmadik fél javításaival igazolható, de több magyarázatot igényel, mint egy támogatott verzió.

Mikor a hosszú távú támogatás mégis a helyes választás? Három helyzet tipikus: egy szakalkalmazás, amelynek gyártója az újabb PHP-verziókat még nem engedélyezi; egy régi rendszer, amelynek leváltását már eldöntötték, és csak néhány hónapig kell még futnia; vagy egy nagy kódbázis, amelynek átállítását gondosan meg kell tervezni. Mindhárom esetben a hosszú távú támogatás időt vesz egy rendezett megoldáshoz. Nem megoldás azokra a rendszerekre, amelyekkel senki sem akar többé foglalkozni.

> **Fontos:**
> Ha egy régi rendszer október 17. és 21. között védtelenül futott az interneten, először tisztázza, nem kompromittálták-e. A hosszú távú támogatás egy már megfertőzött rendszert semmitől sem véd.

## Kiszállási terv is kell

A hosszú távú támogatás akkor jó döntés, ha egy dátummal ér véget. Rögzítse, mikorra kell az alkalmazásnak támogatott verzión futnia, ki felel a migrációért, és milyen részcélok érvényesek. Hogy a PHP-ágakat meddig gondozzák hivatalosan, azt [A PHP kiadási ciklusa](https://phpsos.de/hu/php/release-zyklus/) magyarázza.

Hogy egy frissítés vagy egy backport éri-e meg jobban az Ön rendszerénél, azt a [PHP-frissítés vagy backport?](https://phpsos.de/hu/blog/php-upgrade-oder-backport/) cikk mérlegeli.

## Hogyan segít konkrétan a PHP SOS?

- **A helyzet értékelése:** Ellenőrizzük a régi rendszerei verzióját, csomagforrását és javítási állapotát, valamint azt, hogy mutatnak-e támadásra utaló nyomokat.
- **Az ajánlatok vizsgálata:** Összevetjük egy hosszú távú támogatást nyújtó szolgáltató írásos vállalásait a tényleges állományával.
- **Az áthidalás biztosítása:** A frissítésig beállítjuk a php.net átmeneti intézkedéseit, és korlátozzuk az elérhetőséget.
- **A kiszállás megvalósítása:** A [PHP 8.1 és régebbi verziók migrálásával](https://phpsos.de/hu/leistungen/php-migration-legacy/) megtervezzük és teszteljük az átállást egy támogatott verzióra.


## Gyakori kérdések

**Mi az a PHP Extended Support?**  
Olyan ajánlatok, amelyek a hivatalos támogatás vége után is ellátják a PHP-verziókat biztonsági javításokkal. Ezek lehetnek Linux-disztribúciók, harmadik féltől származó tárolók vagy kereskedelmi szolgáltatások, például a TuxCare ELS vagy a Zend/HeroDevs.

**Lefedi a kereskedelmi hosszú távú támogatás a PHP2Shellt?**  
A TuxCare a weboldalán azt közli, hogy PHP2Shell-javításokat bocsátott rendelkezésre a lejárt PHP-verziókhoz. Az Ön konkrét verziójára, csomagjára és operációs rendszerére vonatkozóan ennek ellenére írásban erősíttesse meg, és ellenőrizze a changelogban.

**Alternatíva a hosszú távú támogatás a frissítésre?**  
Csak időlegesen. A PHP-futtatókörnyezetet javított állapotban tartja, de nem a CMS-t, a bővítményeket és a saját kódot, amelyek gyakran szintén elavultak. A hosszú távú támogatásról szóló minden döntésnek ezért kell kiszállási dátum.

**Mi történik, ha lejár a hosszú távú támogatási szerződés?**  
A cPanel TuxCare-ra vonatkozó dokumentációja szerint a telepített csomagok tovább futnak, de új biztonsági frissítéseket már nem kapnak. A rendszer ekkor ugyanabban a helyzetben van, mint korábban, csak később.

**Érvényes ez a téma a PHP 8.2-re is?**  
Igen, hamarosan. A PHP 8.2 a 8.2.35-tel még megkapja a PHP2Shell-javítást, de 2026. december 31-én eléri a támogatás végét. Aki 8.2-t üzemeltet, most tervezze meg a váltást.

## Források

- [PHP: támogatott verziók](https://www.php.net/supported-versions.php)
- [TuxCare: Extended Lifecycle Support for PHP](https://tuxcare.com/extended-lifecycle-support/php/)
- [cPanel-dokumentáció: TuxCare ELS for PHP](https://docs.cpanel.net/knowledge-base/third-party/tuxcare-extended-lifecycle-support-els-php/)
- [CybelAngel: elemzés a CVE-2026-109618 és CVE-2026-109619 résekről](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)