# Dlhodobá podpora starých verzií PHP: možnosti a hranice

> Predĺžená podpora PHP pre 8.1 a staršie: aké cesty existujú, čo musí poskytovateľ potvrdiť písomne a prečo je dlhodobá podpora len premostením.

Zdroj: https://phpsos.de/sk/blog/langzeitsupport-alte-php-versionen/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Pre PHP 8.1 a staršie už projekt PHP neposkytuje oficiálne aktualizácie. Dlhodobá podpora, nazývaná aj predĺžená podpora, prichádza od distribúcií Linuxu, repozitárov tretích strán alebo komerčných služieb ako TuxCare ELS či Zend/HeroDevs. Môže preklenúť čas do povýšenia, ak poskytovateľ písomne potvrdí pokrytie pre vašu verziu. Nenahrádza však povýšenie ani údržbu CMS a vlastného kódu.

## Prečo sa otázka objavuje práve teraz

Dňa 21. októbra 2026 vyšli opravy PHP2Shell len pre podporované vetvy 8.5, 8.4, 8.3 a 8.2. Pre 7.4, 8.0 a 8.1 poskytol projekt PHP iba minimálne backporty zdrojového kódu, teda opravy v zdrojovom kóde bez hotového vydania. Podľa odbornej tlače sú zasiahnuté takmer všetky verzie až po PHP 5.4.

Aký veľký je objem, ukazuje vyhodnotenie CybelAngel: približne 2,24 milióna hostiteľov PHP dosiahnuteľných z internetu, z toho podľa CybelAngel 59 % na verziách bez oficiálnej opravy v dohľadnom čase. Pre mnohé firmy tak otázka dlhodobej podpory prestala byť teoretická. A bude väčšia: PHP 8.2 dosiahne 31. 12. 2026 koniec podpory.

Čo starý systém potrebuje okamžite, opisuje [PHP 8.1 a staršie: čo teraz platí](https://phpsos.de/sk/php2shell/php-8-1-und-aelter/). Tento článok pomáha pri strednodobej otázke: ktorá cesta unesie záťaž do povýšenia a čo musí poskytovať?

## Predĺžená podpora PHP: cesty v prehľade

| Cesta | Čo poskytuje | Hranice |
|---|---|---|
| Dlhodobá údržba distribúcie | Backporty v balíkoch, kým je verzia distribúcie podporovaná | len pre verziu PHP, ktorú táto distribúcia prináša |
| Repozitár tretej strany | napr. sury.org, podľa správ so zostaveniami od 5.6 po 8.5 | nie je to bezpečnostný archív distribúcie, otázka dôvery |
| Komerčná dlhodobá podpora | zaplátané balíky pre ukončené verzie, napr. TuxCare ELS, Zend/HeroDevs | nechať si potvrdiť pokrytie podľa verzie a CVE, priebežné náklady |
| Vlastné zostavenie z backportov zdrojového kódu | vlastné buildy z opráv projektu PHP | náročné, pri každej zraniteľnosti treba znovu |

K komerčným ponukám: TuxCare opisuje na svojej webovej stránke opravy CVE pre ukončené verzie od PHP 5.2 po 8.x, dodávané cez existujúcu správu balíkov, pre Windows a bežné distribúcie Linuxu. Poznámka na tej istej stránke hlási opravy PHP2Shell pre ukončené verzie PHP. Podľa dokumentácie cPanel TuxCare sľubuje pri zraniteľnostiach od CVSS 7 opravy do 14 dní po zverejnení; na serveroch cPanel sa na to prepínajú domény z ea-php na alt-php. K Zend/HeroDevs sme nemali k dispozícii žiadne vyjadrenie o pokrytí PHP2Shell.

Poznámky k ceste cez tretiu stranu uvádza článok [Repozitár sury.org](https://phpsos.de/sk/blog/sury-repository-php/).

## Čo potrebujete od poskytovateľa písomne

Dlhodobá podpora je služba založená na dôvere. Kupujete si sľub, že budúce zraniteľnosti budú uzavreté. Pred rozhodnutím si preto nechajte písomne odpovedať:

1. Ktoré verzie PHP, operačné systémy a názvy balíkov sú presne pokryté?
2. Sú CVE-2026-109618 a CVE-2026-109619 pre vašu verziu uzavreté, s akým stavom balíka a odkedy?
3. Ako sa narába s CVE-2026-115560 a budúcimi nadväzujúcimi hláseniami?
4. Sú rozšírenia, ktoré používate, zahrnuté, alebo len jadro PHP?
5. Ako si sami overíte, že je záplata nasadená, napríklad cez changelog balíka?
6. Ako dlho trvá pokrytie pre vašu verziu a ako sa oznamuje koniec?
7. Čo sa stane s nainštalovanými balíkmi, keď zmluva skončí?

Odpovede, ktoré len všeobecne odkazujú na „všetky bezpečnostné zraniteľnosti“, nestačia. Pre audítorov, poisťovateľov a vašu vlastnú dokumentáciu sa počíta konkrétne priradenie verzie, balíka a CVE.

## Hranice: čo dlhodobá podpora nerieši

Dlhodobá podpora udržiava runtime PHP aktuálny. Všetko nad ním ostáva vašou úlohou. A práve tam je pri starých systémoch zvyčajne väčší problém.

- **Aplikácia zastaráva ďalej:** CMS alebo obchod, ktorý potrebuje PHP 8.1, často sám už nie je v nasadení v aktuálnej verzii.
- **Knižnice a rozšírenia:** Balíky Composer a pluginy pre staré verzie PHP často už aktualizácie nedostávajú.
- **Žiadna náhrada reštartu a kontroly:** Aj zaplátané balíky pôsobia až po reštarte všetkých procesov PHP a neodstránia škodlivý softvér, ktorý sa do systému dostal predtým.
- **Technický dlh rastie:** Čím dlhšie premostenie, tým väčší skok pri neskoršej migrácii.
- **Doklady sú náročnejšie:** Audítori, zákazníci a poisťovatelia sa čoraz častejšie pýtajú na stav záplat. Ukončená verzia PHP so záplatami tretej strany sa dá doložiť, vyžaduje však viac vysvetľovania než podporovaná verzia.

Kedy je dlhodobá podpora napriek tomu správnou voľbou? Typické sú tri situácie: odborná aplikácia, ktorej výrobca novšie verzie PHP ešte neschvaľuje; starý systém, ktorého nahradenie je už rozhodnuté a má bežať už len niekoľko mesiacov; alebo rozsiahla kódová základňa, ktorej prechod treba starostlivo naplánovať. Vo všetkých troch prípadoch dlhodobá podpora kupuje čas na usporiadané riešenie. Nie je riešením pre systémy, o ktoré sa už nikto nechce starať.

> **Dôležité:**
> Ak starý systém bežal medzi 17. a 21. októbrom nechránený na internete, najprv objasnite, či nie je kompromitovaný. Dlhodobá podpora pre už napadnutý systém nechráni nič.

## K tomu patrí plán ukončenia

Dlhodobá podpora je dobrým rozhodnutím vtedy, keď končí dátumom. Určte, dokedy má aplikácia bežať na podporovanej verzii, kto zodpovedá za migráciu a aké platia medzikroky. Ako dlho sa vetvy PHP oficiálne udržiavajú, vysvetľuje [Cyklus vydávania PHP](https://phpsos.de/sk/php/release-zyklus/).

Či sa pre váš systém skôr oplatí povýšenie alebo backport, zvažuje článok [Povýšenie PHP alebo backport?](https://phpsos.de/sk/blog/php-upgrade-oder-backport/).

## Ako konkrétne pomáha PHP SOS?

- **Zhodnotiť situáciu:** Preveríme verziu, zdroj balíkov a stav záplat vašich starých systémov a to, či nevykazujú stopy útoku.
- **Preveriť ponuky:** Písomné prísľuby poskytovateľa dlhodobej podpory porovnáme s vaším skutočným stavom.
- **Zabezpečiť premostenie:** Do povýšenia nastavíme prechodné opatrenia z php.net a obmedzíme dostupnosť.
- **Zrealizovať ukončenie:** S [migráciou z PHP 8.1 a staršieho](https://phpsos.de/sk/leistungen/php-migration-legacy/) naplánujeme a otestujeme prechod na podporovanú verziu.


## Časté otázky

**Čo je predĺžená podpora PHP?**  
Rozumejú sa tým ponuky, ktoré verzie PHP po oficiálnom konci podpory ďalej zásobujú bezpečnostnými opravami. Môžu to byť distribúcie Linuxu, repozitáre tretích strán alebo komerčné služby ako TuxCare ELS či Zend/HeroDevs.

**Pokrýva komerčná dlhodobá podpora PHP2Shell?**  
TuxCare na svojej webovej stránke uvádza, že pre ukončené verzie PHP poskytol opravy PHP2Shell. Pre svoju konkrétnu verziu, balík a operačný systém by ste si to napriek tomu mali nechať potvrdiť písomne a preveriť v changelogu.

**Je dlhodobá podpora alternatívou k povýšeniu?**  
Len na čas. Udrží runtime PHP zaplátaný, no nie CMS, rozšírenia a vlastný kód, ktoré sú často tiež zastarané. Dátum ukončenia preto patrí do každého rozhodnutia o dlhodobej podpore.

**Čo sa stane, keď zmluva o dlhodobej podpore skončí?**  
Podľa dokumentácie cPanel k TuxCare nainštalované balíky bežia ďalej, ale už nedostávajú nové bezpečnostné aktualizácie. Systém je potom opäť v rovnakej situácii ako predtým, len neskôr.

**Týka sa téma aj PHP 8.2?**  
Áno, čoskoro. PHP 8.2 dostáva s verziou 8.2.35 ešte opravu PHP2Shell, no 31. 12. 2026 dosiahne koniec podpory. Kto prevádzkuje 8.2, mal by prechod plánovať už teraz.

## Zdroje

- [PHP: podporované verzie](https://www.php.net/supported-versions.php)
- [TuxCare: Extended Lifecycle Support for PHP](https://tuxcare.com/extended-lifecycle-support/php/)
- [Dokumentácia cPanel: TuxCare ELS for PHP](https://docs.cpanel.net/knowledge-base/third-party/tuxcare-extended-lifecycle-support-els-php/)
- [CybelAngel: analýza CVE-2026-109618 a CVE-2026-109619](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)