Kort gezegd: Voor PHP 8.1 en ouder bestaan er van het PHP-project geen officiële updates meer. Langetermijnondersteuning, ook Extended Support genoemd, komt van Linux-distributies, repositories van derden of commerciële diensten zoals TuxCare ELS of Zend/HeroDevs. Ze kan de tijd tot de upgrade overbruggen, als de aanbieder de dekking voor uw versie schriftelijk bevestigt. Ze vervangt echter noch de upgrade, noch het onderhoud van CMS en eigen code.
Waarom de vraag juist nu op tafel komt
Op 21 oktober 2026 verschenen de PHP2Shell-correcties alleen voor de ondersteunde takken 8.5, 8.4, 8.3 en 8.2. Voor 7.4, 8.0 en 8.1 heeft het PHP-project slechts minimale bronbackports geleverd, dus correcties in de broncode zonder kant-en-klare release. Volgens vakpers zijn bijna alle versies tot en met PHP 5.4 getroffen.
Hoe groot het bestand is, toont een analyse van CybelAngel: rond 2,24 miljoen vanaf internet bereikbare PHP-hosts, waarvan volgens CybelAngel 59 procent op versies zonder aanstaande officiële fix. Voor veel bedrijven is de vraag naar langetermijnondersteuning daarmee niet meer theoretisch. En ze wordt groter: PHP 8.2 bereikt op 31 december 2026 het einde van de ondersteuning.
Wat een oud systeem nu onmiddellijk nodig heeft, beschrijft PHP 8.1 en ouder: wat nu geldt. Dit artikel helpt bij de middellangetermijnvraag: welke weg draagt tot de upgrade, en wat moet hij leveren?
PHP Extended Support: de wegen in overzicht
| Weg | Wat hij levert | Grenzen |
|---|---|---|
| Langetermijnonderhoud van de distributie | Backports in de pakketten, zolang de distributieversie wordt ondersteund | alleen voor de PHP-versie die deze distributie meebrengt |
| Repository van derden | bijv. sury.org, volgens berichten met builds van 5.6 tot 8.5 | niet het beveiligingsarchief van de distributie, vertrouwenskwestie |
| Commerciële langetermijnondersteuning | gepatchte pakketten voor verlopen versies, bijv. TuxCare ELS, Zend/HeroDevs | dekking per versie en CVE laten bevestigen, lopende kosten |
| Zelfbouw uit bronbackports | eigen builds uit de correcties van het PHP-project | bewerkelijk, bij elk lek opnieuw nodig |
Over de commerciële aanbiedingen: TuxCare beschrijft op zijn website CVE-correcties voor verlopen versies van PHP 5.2 tot 8.x, geleverd via de bestaande pakketbeheerder, voor Windows en gangbare Linux-distributies. Een opmerking op dezelfde pagina meldt PHP2Shell-correcties voor verlopen PHP-versies. Volgens de cPanel-documentatie belooft TuxCare voor lekken vanaf CVSS 7 correcties binnen 14 dagen na publicatie; op cPanel-servers worden daarvoor domeinen van ea-php naar alt-php omgezet. Over Zend/HeroDevs lag ons geen uitspraak over PHP2Shell-dekking voor.
Aanwijzingen over de weg via derden geeft het artikel De sury.org-repository.
Wat u schriftelijk van de aanbieder nodig hebt
Langetermijnondersteuning is een vertrouwensdienst. U koopt de belofte dat toekomstige lekken worden gedicht. Laat daarom vóór de beslissing schriftelijk beantwoorden:
- Welke PHP-versies, besturingssystemen en pakketnamen zijn precies gedekt?
- Zijn CVE-2026-109618 en CVE-2026-109619 voor uw versie gedicht, met welke pakketstand en sinds wanneer?
- Hoe wordt omgegaan met CVE-2026-115560 en toekomstige vervolgmeldingen?
- Zijn de door u gebruikte extensies inbegrepen of alleen de PHP-kern?
- Hoe controleert u zelf na dat een patch is ingespeeld, bijvoorbeeld via de pakket-changelog?
- Hoe lang loopt de dekking voor uw versie, en hoe wordt een einde aangekondigd?
- Wat gebeurt er met de geïnstalleerde pakketten als het contract afloopt?
Antwoorden die alleen algemeen verwijzen naar "alle beveiligingslekken", volstaan niet. Voor auditors, verzekeraars en uw eigen documentatie telt de concrete koppeling van versie, pakket en CVE.
De grenzen: wat langetermijnondersteuning niet oplost
Langetermijnondersteuning houdt de PHP-runtime op peil. Alles daarboven blijft uw taak. En juist daar ligt bij oude systemen meestal het grotere probleem.
- De applicatie veroudert door: Een CMS of webshop die PHP 8.1 nodig heeft, is zelf vaak niet meer in de actuele versie in gebruik.
- Bibliotheken en extensies: Composer-pakketten en plug-ins krijgen voor oude PHP-versies vaak geen updates meer.
- Geen vervanging voor herstart en controle: Ook gepatchte pakketten werken pas na de herstart van alle PHP-processen, en ze verwijderen geen malware die eerder is ingebracht.
- Technische schuld groeit: Hoe langer de brug, hoe groter de sprong bij de latere migratie.
- Bewijzen worden bewerkelijker: Auditors, klanten en verzekeraars vragen steeds vaker naar de patchstand. Een verlopen PHP-versie met patches van derden is aan te tonen, maar vraagt meer uitleg dan een ondersteunde versie.
Wanneer is langetermijnondersteuning toch de juiste keuze? Typisch zijn drie situaties: een vaktoepassing waarvan de fabrikant nieuwere PHP-versies nog niet vrijgeeft; een oud systeem waarvan de vervanging al is besloten en nog maar enkele maanden moet draaien; of een grote codebasis waarvan de omschakeling zorgvuldig gepland moet worden. In alle drie de gevallen koopt langetermijnondersteuning tijd voor een ordelijke oplossing. Ze is geen oplossing voor systemen waar niemand zich meer om wil bekommeren.
Stond een oud systeem tussen 17 en 21 oktober onbeschermd op internet, stel dan eerst vast of het is gecompromitteerd. Langetermijnondersteuning voor een reeds besmet systeem beschermt niets.
Een uitstapplan hoort erbij
Langetermijnondersteuning is een goede beslissing als ze met een datum eindigt. Leg vast tot wanneer de applicatie op een ondersteunde versie moet draaien, wie de migratie verantwoordt en welke tussendoelen gelden. Hoe lang PHP-takken officieel worden onderhouden, legt De releasecyclus van PHP uit.
Of een upgrade of een backport voor uw systeem meer loont, weegt het artikel PHP-upgrade of backport? af.
Hoe helpt PHP SOS concreet?
- Situatie beoordelen: Wij controleren versie, pakketbron en patchstand van uw oude systemen en of ze sporen van een aanval tonen.
- Aanbiedingen controleren: Wij vergelijken de schriftelijke toezeggingen van een aanbieder van langetermijnondersteuning met uw werkelijke bestand.
- Brug beveiligen: Tot de upgrade stellen wij de overbruggingsmaatregelen van php.net in en beperken wij de bereikbaarheid.
- Uitstap uitvoeren: Met de migratie van PHP 8.1 en ouder plannen en testen wij de overstap naar een ondersteunde versie.
Veelgestelde vragen
Wat is PHP Extended Support?
Daarmee worden aanbiedingen bedoeld die PHP-versies na het officiële einde van de ondersteuning blijven voorzien van beveiligingscorrecties. Dat kunnen Linux-distributies, repositories van derden of commerciële diensten zoals TuxCare ELS of Zend/HeroDevs zijn.
Dekt commerciële langetermijnondersteuning PHP2Shell af?
TuxCare vermeldt op zijn website PHP2Shell-correcties voor verlopen PHP-versies te hebben geleverd. Voor uw concrete versie, uw pakket en uw besturingssysteem moet u dat toch schriftelijk laten bevestigen en in de changelog nacontroleren.
Is langetermijnondersteuning een alternatief voor de upgrade?
Alleen tijdelijk. Ze houdt de PHP-runtime gepatcht, maar niet het CMS, de extensies en de eigen code, die vaak eveneens verouderd zijn. Een uitstapdatum hoort daarom bij elke beslissing voor langetermijnondersteuning.
Wat gebeurt er als het contract voor langetermijnondersteuning afloopt?
Volgens de cPanel-documentatie over TuxCare blijven de geïnstalleerde pakketten draaien, maar ontvangen ze geen nieuwe beveiligingsupdates meer. Het systeem zit dan weer in dezelfde situatie als eerder, alleen later.
Geldt het onderwerp ook voor PHP 8.2?
Ja, binnenkort. PHP 8.2 krijgt met 8.2.35 nog de PHP2Shell-correctie, maar bereikt op 31 december 2026 het einde van de ondersteuning. Wie 8.2 draait, moet de overstap nu plannen.