# PHP End of Life: riziká zastaraných verzií

> PHP End of Life: čo sa stane po konci podpory, prečo sú PHP 8.1 a staršie po PHP2Shell kritické a ako naplánovať prechod na 8.2+.

Zdroj: https://phpsos.de/sk/ratgeber/php-end-of-life-risiken/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** PHP End of Life znamená: projekt PHP pre túto vetvu už nedodáva bezpečnostné aktualizácie. PHP2Shell dôsledky jasne ukazuje, pretože pre PHP 8.1 a staršie neexistuje oficiálna oprava a PHP 8.2 končí 31. 12. 2026. Kto dnes beží na starej vetve, mal by prechod plánovať teraz, nie až pri najbližšej núdzi.

## Čo znamená PHP End of Life

Každá vetva PHP, napríklad 8.2 alebo 8.3, je projektom PHP udržiavaná len po obmedzené obdobie. Najprv sa vydávajú opravy chýb a bezpečnostné aktualizácie, neskôr už iba bezpečnostné aktualizácie. Potom podpora úplne končí. Aktuálne obdobia zverejňuje php.net na stránke o podporovaných verziách.

Po konci podpory softvér síce beží ďalej. Ak sa však objaví nová zraniteľnosť, projekt PHP už nevydá záplatu. Server zostáva zraniteľný, kým niekto iný neopraví alebo kým neprejdete na podporovanú vetvu.

Pre vedenie a IT riaditeľov je to predovšetkým otázka plánovania. Migráciu možno pokojne pripraviť. Pod časovým tlakom po kritickom hlásení je drahá a riskantná.

## Čo PHP2Shell ukazuje o zastaraných verziách

Dňa 21. 10. 2026 projekt PHP zverejnil záplaty pre dve kritické zraniteľnosti, CVE-2026-109618 a CVE-2026-109619. Obe umožňujú vykonanie škodlivého kódu na diaľku bez prihlásenia a sú hodnotené CVSS v4.0 na 9,2. Podľa odbornej tlače sú dotknuté takmer všetky verzie až po PHP 5.4.

| Vetva | Stav podľa projektu PHP | Oprava pre PHP2Shell |
|---|---|---|
| PHP 8.5 | podporovaná | 8.5.12 |
| PHP 8.4 | podporovaná | 8.4.27 |
| PHP 8.3 | podporovaná | 8.3.36 |
| PHP 8.2 | podporovaná do 31. 12. 2026 | 8.2.35 |
| PHP 8.1, 8.0, 7.4 | žiadne oficiálne aktualizácie | len minimálne backporty zdrojového kódu |
| PHP 7.3 a staršie | žiadne oficiálne aktualizácie | žiadny backport od projektu PHP |

Pre 8.1 a staršie tak zostáva len cesta cez backporty distribúcií alebo poskytovateľov hostingu. Tí často naďalej zobrazujú staré číslo verzie, hoci je záplata nasadená. Či je backport nasadený, môže záväzne potvrdiť iba poskytovateľ. Podrobnosti sú na stránke [PHP 8.1 a staršie: čo platí teraz](https://phpsos.de/sk/php2shell/php-8-1-und-aelter/), úplný prehľad na stránke [Ktoré verzie PHP sú dotknuté?](https://phpsos.de/sk/php2shell/betroffene-php-versionen/).

> **Dôležité:**
> PHP 8.2 ešte dostalo opravu pre PHP2Shell, ale 31. 12. 2026 dosiahne koniec podpory. Kto teraz migruje z 8.1, mal by rovno zamieriť na novšiu vetvu.

## Riziká zastaraných verzií PHP v prehľade

Bezpečnostné riziko je v popredí, nie je však jediné. Zastarané verzie PHP so sebou prinášajú ďalšie problémy:

- **Žiadne záplaty pre nové zraniteľnosti:** Každá budúca slabina zostáva otvorená alebo závisí od backportov tretích strán.
- **Zastarané knižnice:** Aktuálne balíky vyžadujú novšie vetvy PHP. Bezpečnostné opravy v knižniciach sa potom nedajú nasadiť, ako ukazuje príručka [composer audit](https://phpsos.de/sk/ratgeber/composer-abhaengigkeiten-pruefen/).
- **Závislosť od poskytovateľa:** Poskytovatelia hostingu si za staré verzie niekedy účtujú príplatky alebo prevádzku ukončia. Lehotu potom určuje poskytovateľ, nie vy.
- **Problémy s dokazovaním:** Voči poisťovateľom, objednávateľom alebo pri auditoch sa nepodporovaná verzia ťažko zdôvodňuje. Či z toho vzniknú zmluvné alebo právne následky, vyjasnite s poisťovateľom alebo právnikom.
- **Rastúca náročnosť migrácie:** Čím väčší je odstup od aktuálnej verzie, tým viac kódu treba upraviť.

Najčastejšie sú dotknuté staršie e-shopové systémy a dlho nedotknuté individuálne vývoje. Typickým príkladom je [Shopware 5](https://phpsos.de/sk/plattformen/shopware-5/), ktorý často beží ešte na starších vetvách PHP.

## Inventúra: ktoré verzie PHP u vás bežia?

Prvým krokom je úplný obraz. Na mnohých serveroch bežia paralelne viaceré verzie PHP, napríklad pre starý web, na ktorý už nikto nemyslí. Tieto príkazy iba čítajú:

```bash
# Verzia príkazového riadka
php -v
# Nainštalované verzie na Debiane/Ubuntu
ls /etc/php/
# Nainštalované verzie v Plesk
ls /opt/plesk/php/ 2>/dev/null
# Bežiace procesy PHP s verziou v názve
ps -eo user,cmd | grep -E "[p]hp-fpm|[p]hp[0-9.]*-cgi|[l]sphp" | sort | uniq -c
```

Pre každý web zaznamenajte: doménu, verziu PHP, prevádzkový režim, CMS s verziou, zodpovednú osobu. Tento zoznam je zároveň základom vášho núdzového plánu. Pri zdieľanom hostingu nájdete verzie zvyčajne v zákazníckom menu poskytovateľa.

## Naplánovať migráciu: ako postupovať

Migrácia na podporovanú vetvu spravidla sleduje rovnaké kroky, nezávisle od systému:

1. **Určiť cieľ:** vybrať vetvu, ktorá je podľa php.net podporovaná čo najdlhšie a podľa systémových požiadaviek výrobcu sa hodí k vášmu CMS.
2. **Skontrolovať kompatibilitu:** CMS, rozšírenia, témy a vlastný kód. Údaje sú na oficiálnej stránke príslušného výrobcu.
3. **Zriadiť staging:** kópia webu s novou verziou PHP vrátane databázy.
4. **Testovať:** všetky dôležité procesy, od kontaktného formulára po proces objednávky, a v chybovom logu hľadať varovania.
5. **Prestaviť a reštartovať:** zmeniť verziu, reštartovať všetky procesy PHP, skontrolovať funkčnosť a chybový log.

Plánujte realisticky. Malý web s aktuálnym CMS býva prestavený rýchlo. E-shop, ktorý rástol roky, s mnohými rozšíreniami a vlastným kódom môže naopak vyžadovať úpravu kódu a rozšírení až po prechod na novú hlavnú verziu e-shopového systému. Včas si ujasnite, kto interne rozhoduje, aký rozpočet je k dispozícii a či sa musia zapojiť externí vývojári.

Určite navyše, ako budete v budúcnosti sledovať konce podpory. Pevný termín v roku, keď zoznam svojich webov porovnáte s údajmi na php.net, zabráni tomu, aby rovnaké úzke miesto vzniklo znova o dva roky.

Do prestavby by ste mali využiť prechodné opatrenia php.net, napríklad `session.upload_progress.enabled=0` v konfigurácii servera. Nie sú úplnou ochranou, ale znižujú riziko.

## Ako konkrétne pomáha PHP SOS?

- Zmapujeme všetky verzie PHP, prevádzkové režimy a aplikácie na vašich serveroch.
- Posúdime riziko pre každý web a s vami určíme poradie a cieľovú verziu.
- Do migrácie nastavíme prechodné opatrenia a od poskytovateľa vyžiadame potvrdenia k backportom.
- Migrujeme cez staging prostredie a test aj prestavbu zdokumentujeme.

Postup popisuje služba [PHP 8.1 a staršie: migrácia na podporovanú verziu](https://phpsos.de/sk/leistungen/php-migration-legacy/).


## Časté otázky

**Kedy končí podpora pre PHP 8.2?**  
PHP 8.2 dosiahne 31. 12. 2026 koniec podpory zo strany projektu PHP. Opravu pre PHP2Shell vetva ešte dostala vo verzii 8.2.35, pre neskoršie zraniteľnosti už potom nemožno očakávať oficiálnu aktualizáciu.

**Dostane PHP 8.1 záplatu proti PHP2Shell?**  
Projekt PHP pre 8.1 a staršie už nevydáva oficiálne aktualizácie. Existujú len minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1. Či a ako ich váš poskytovateľ hostingu alebo distribúcia nasadzuje, sa musíte opýtať u poskytovateľa.

**Je stará verzia PHP s backportmi od poskytovateľa hostingu bezpečná?**  
Backporty môžu uzavrieť konkrétne zraniteľnosti, ale nenahrádzajú podporovanú vetvu. Závisia od poskytovateľa, často prichádzajú neskôr a nepokrývajú každú zraniteľnosť. Ako trvalé riešenie preto nie sú vhodné.

**Ako zistím, či moje CMS beží s novou verziou PHP?**  
Preverte systémové požiadavky na oficiálnej stránke výrobcu a otestujte v staging prostredí. To isté platí pre rozšírenia a témy, pretože práve tie sú často skutočným úzkym miestom.

## Zdroje

- [php.net: podporované verzie](https://www.php.net/supported-versions.php)
- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)