# Dolgoročna podpora za stare različice PHP: možnosti in meje

> PHP Extended Support za 8.1 in starejše: katere poti obstajajo, kaj mora ponudnik potrditi pisno in zakaj je dolgoročna podpora le most.

Vir: https://phpsos.de/sl/blog/langzeitsupport-alte-php-versionen/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** Za PHP 8.1 in starejše projekt PHP ne izdaja več uradnih posodobitev. Dolgoročna podpora, imenovana tudi Extended Support, prihaja od distribucij Linux, repozitorijev tretjih ponudnikov ali komercialnih storitev, kot sta TuxCare ELS ali Zend/HeroDevs. Lahko premosti čas do nadgradnje, če ponudnik pisno potrdi pokritost za vašo različico. Ne nadomesti pa niti nadgradnje niti vzdrževanja CMS in lastne kode.

## Zakaj se vprašanje postavlja ravno zdaj

21. oktobra 2026 so popravki PHP2Shell izšli samo za podprte veje 8.5, 8.4, 8.3 in 8.2. Za 7.4, 8.0 in 8.1 je projekt PHP zagotovil le minimalne povratne popravke v izvorni kodi, torej popravke v izvorni kodi brez končne izdaje. Po navedbah strokovnega tiska so prizadete skoraj vse različice do PHP 5.4.

Kako velik je obseg, kaže analiza družbe CybelAngel: približno 2,24 milijona strežnikov PHP, dosegljivih z interneta, od tega po CybelAngel 59 odstotkov na različicah brez prihajajočega uradnega popravka. Za mnoga podjetja vprašanje dolgoročne podpore tako ni več teoretično. In postaja večje: PHP 8.2 31. 12. 2026 doseže konec podpore.

Kaj stari sistem potrebuje takoj, opisuje [PHP 8.1 in starejše: kaj velja zdaj](https://phpsos.de/sl/php2shell/php-8-1-und-aelter/). Ta prispevek pomaga pri srednjeročnem vprašanju: katera pot zdrži do nadgradnje in kaj mora zagotoviti?

## PHP Extended Support: poti na pregled

| Pot | Kaj dobavi | Meje |
|---|---|---|
| Dolgoročna oskrba distribucije | Backporti v paketih, dokler je različica distribucije podprta | samo za različico PHP, ki jo ta distribucija prinaša |
| Repozitorij tretjega ponudnika | npr. sury.org, po poročilih z gradnjami od 5.6 do 8.5 | ni varnostni arhiv distribucije, vprašanje zaupanja |
| Komercialna dolgoročna podpora | popravljeni paketi za izpadle različice, npr. TuxCare ELS, Zend/HeroDevs | pokritost za vsako različico in CVE si dajte potrditi, tekoči stroški |
| Lastna gradnja iz izvornih backportov | lastne gradnje iz popravkov projekta PHP | zahtevno, ob vsaki ranljivosti znova potrebno |

H komercialnim ponudbam: TuxCare na svoji spletni strani opisuje popravke CVE za izpadle različice od PHP 5.2 do 8.x, dobavljene prek obstoječega upravljanja paketov, za Windows in običajne distribucije Linux. Opomba na isti strani poroča o popravkih PHP2Shell za izpadle različice PHP. Po dokumentaciji cPanel TuxCare za ranljivosti od CVSS 7 obljublja popravke v 14 dneh po objavi; na strežnikih cPanel se zato domene preklopijo z ea-php na alt-php. O Zend/HeroDevs nam izjava o pokritosti PHP2Shell ni bila na voljo.

Napotke za pot prek tretjih ponudnikov daje prispevek [Repozitorij sury.org](https://phpsos.de/sl/blog/sury-repository-php/).

## Kaj potrebujete od ponudnika pisno

Dolgoročna podpora je storitev zaupanja. Kupujete obljubo, da bodo prihodnje ranljivosti zaprte. Zato si pred odločitvijo dajte pisno odgovoriti:

1. Katere različice PHP, operacijski sistemi in imena paketov so natanko pokriti?
2. Ali sta CVE-2026-109618 in CVE-2026-109619 za vašo različico zaprti, s katerim stanjem paketa in od kdaj?
3. Kako se ravna s CVE-2026-115560 in prihodnjimi nadaljnjimi obvestili?
4. Ali so razširitve, ki jih uporabljate, vključene ali samo jedro PHP?
5. Kako sami preverite, da je popravek nameščen, na primer prek changeloga paketa?
6. Kako dolgo velja pokritost za vašo različico in kako se napove konec?
7. Kaj se zgodi z nameščenimi paketi, ko pogodba poteče?

Odgovori, ki se splošno sklicujejo na „vse varnostne ranljivosti“, ne zadoščajo. Za revizorje, zavarovalnice in vašo lastno dokumentacijo šteje konkretna dodelitev različice, paketa in CVE.

## Meje: česa dolgoročna podpora ne reši

Dolgoročna podpora ohranja izvajalno okolje PHP na stanju. Vse nad tem ostaja vaša naloga. In prav tam je pri starih sistemih večinoma večja težava.

- **Aplikacija zastareva naprej:** CMS ali trgovina, ki potrebuje PHP 8.1, pogosto sama ni več v aktualni različici.
- **Knjižnice in razširitve:** Paketi Composer in vtičniki za stare različice PHP pogosto ne dobivajo več posodobitev.
- **Ni nadomestilo za ponovni zagon in preverjanje:** Tudi popravljeni paketi delujejo šele po ponovnem zagonu vseh procesov PHP in ne odstranijo škodljive programske opreme, ki je bila vnesena prej.
- **Tehnični dolg raste:** Čim daljši je most, tem večji je skok pri poznejši migraciji.
- **Dokazovanje je zahtevnejše:** Revizorji, stranke in zavarovalnice vse pogosteje sprašujejo po stanju popravkov. Izpadlo različico PHP s popravki tretjega ponudnika je mogoče dokazati, vendar zahteva več razlage kot podprta različica.

Kdaj je dolgoročna podpora kljub temu prava izbira? Tipični so trije položaji: strokovna aplikacija, katere proizvajalec novejših različic PHP še ne odobrava; stari sistem, katerega zamenjava je že sklenjena in naj teče le še nekaj mesecev; ali velika kodna baza, katere preklop je treba skrbno načrtovati. V vseh treh primerih dolgoročna podpora kupi čas za urejeno rešitev. Ni pa rešitev za sisteme, za katere noče nihče več skrbeti.

> **Pomembno:**
> Če je stari sistem med 17. in 21. oktobrom nezaščiten tekel na internetu, najprej razjasnite, ali je ogrožen. Dolgoročna podpora za že okuženi sistem ne varuje ničesar.

## Načrt izstopa sodi zraven

Dolgoročna podpora je dobra odločitev, če se konča z datumom. Določite, do kdaj naj aplikacija teče na podprti različici, kdo je odgovoren za migracijo in kateri vmesni cilji veljajo. Kako dolgo se veje PHP uradno vzdržujejo, pojasnjuje [Cikel izdaj PHP](https://phpsos.de/sl/php/release-zyklus/).

Ali se za vaš sistem bolj splača nadgradnja ali backport, tehta prispevek [Nadgradnja PHP ali backport?](https://phpsos.de/sl/blog/php-upgrade-oder-backport/).

## Kako PHP SOS pomaga konkretno?

- **Ocena stanja:** Preverimo različico, vir paketov in stanje popravkov vaših starih sistemov ter ali kažejo sledi napada.
- **Preverjanje ponudb:** Pisne zaveze ponudnika dolgoročne podpore primerjamo z vašim dejanskim stanjem.
- **Zavarovanje mostu:** Do nadgradnje nastavimo prehodne ukrepe s php.net in omejimo dosegljivost.
- **Izvedba izstopa:** Z [migracijo s PHP 8.1 in starejših](https://phpsos.de/sl/leistungen/php-migration-legacy/) načrtujemo in preizkusimo preklop na podprto različico.


## Pogosta vprašanja

**Kaj je PHP Extended Support?**  
S tem so mišljene ponudbe, ki različice PHP po uradnem koncu podpore še naprej oskrbujejo z varnostnimi popravki. To so lahko distribucije Linux, repozitoriji tretjih ponudnikov ali komercialne storitve, kot sta TuxCare ELS ali Zend/HeroDevs.

**Ali komercialna dolgoročna podpora pokriva PHP2Shell?**  
TuxCare na svoji spletni strani navaja, da je popravke PHP2Shell zagotovil za izpadle različice PHP. Za vašo konkretno različico, paket in operacijski sistem si to vseeno dajte potrditi pisno in preverite v changelogu.

**Ali je dolgoročna podpora alternativa nadgradnji?**  
Samo za nekaj časa. Izvajalno okolje PHP ohranja popravljeno, ne pa CMS, razširitev in lastne kode, ki so pogosto prav tako zastareli. Datum izstopa zato sodi v vsako odločitev za dolgoročno podporo.

**Kaj se zgodi, ko pogodba o dolgoročni podpori poteče?**  
Po dokumentaciji cPanel o TuxCare nameščeni paketi tečejo naprej, a ne prejemajo več novih varnostnih posodobitev. Sistem je potem spet v enakem položaju kot prej, le pozneje.

**Ali tema velja tudi za PHP 8.2?**  
Da, kmalu. PHP 8.2 z 8.2.35 še dobi popravek PHP2Shell, a 31. 12. 2026 doseže konec podpore. Kdor uporablja 8.2, naj prehod načrtuje zdaj.

## Viri

- [PHP: podprte različice](https://www.php.net/supported-versions.php)
- [TuxCare: Extended Lifecycle Support for PHP](https://tuxcare.com/extended-lifecycle-support/php/)
- [Dokumentacija cPanel: TuxCare ELS for PHP](https://docs.cpanel.net/knowledge-base/third-party/tuxcare-extended-lifecycle-support-els-php/)
- [CybelAngel: analiza CVE-2026-109618 in CVE-2026-109619](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)