# Katere različice PHP so prizadete? > Katere različice PHP PHP2Shell zadeva in katere so popravljene: tabela različic od 8.5 do 5.4, napotki o backportih, koncu podpore in nadaljnjem ravnanju. Vir: https://phpsos.de/sl/php2shell/betroffene-php-versionen/ Stanje: 25.10.2026 Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6 **Na kratko:** Zaradi varnostne ranljivosti PHP2Shell so prizadete veje 8.2 do 8.5 do izdaj z dne 21. oktobra 2026, po poročilih strokovnega tiska skoraj vse različice nazaj do PHP 5.4. Odpravljena je v PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Za PHP 8.1 in starejše uradnih posodobitev ni več, obstajajo samo minimalni backporti izvorne kode za 7.4, 8.0 in 8.1. ## Katere različice je ranljivost PHP prizadela? PHP2Shell obsega obe ranljivosti CVE-2026-109618 in CVE-2026-109619, vsaka z oceno CVSS v4.0 9,2. Obe omogočata izvajanje škodljive kode na daljavo brez prijave. 21. oktobra 2026 ob 14:00 UTC (ob 16. uri po nemškem času) je projekt PHP objavil popravke za vse podprte veje. | Veja PHP | Zadnje stanje pred popravkom | Odpravljeno od | Podpora | |---|---|---|---| | 8.5 | 8.5.11 | **8.5.12** | uradno podprta | | 8.4 | 8.4.26 | **8.4.27** | uradno podprta | | 8.3 | 8.3.35 | **8.3.36** | uradno podprta | | 8.2 | 8.2.34 | **8.2.35** | se konča 31. 12. 2026 | | 8.1, 8.0, 7.4 | vsa stanja | ni uradne izdaje | samo minimalni backporti izvorne kode | | 7.3 do 5.4 | po strokovnem tisku prizadete skoraj vse | ni posodobitve | že leta brez podpore | Podatki o 8.2 do 8.5 izvirajo iz sporočil php.net. Izjava o različicah do PHP 5.4 izvira iz strokovnega tiska; popolnega uradnega seznama za stare različice ni. Za netehnike v nekaj stavkih: če je na vašem strežniku različica iz stolpca „Odpravljeno od“ ali višja in so bili potem znova zagnani vsi procesi PHP, je PHP2Shell zaprt. Če tam piše starejša številka, je v igri backport, ki ga mora potrditi vaš ponudnik, ali pa je ranljivost odprta. V dvomu vprašajte svojo IT ali ponudnika gostovanja natanko po teh treh točkah: različica, backport, ponovni zagon. ## Prizadeti načini delovanja Številka različice je samo pol odgovora. Prizadeti so vsi običajni načini delovanja PHP na spletnem strežniku: PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP in LiteSpeed. Ekipa PHP tveganje pri mod_php ocenjuje kot najvišje, ker je bil tam exploit prikazan, še preden se sploh izvede koda aplikacije. Podrobnosti na strani [Zakaj ima mod_php najvišje tveganje](https://phpsos.de/sl/php2shell/mod-php-risiko/). Zaščite iz aplikacije ni: ne glede na to, ali gre za WordPress, Shopware, TYPO3, Laravel ali lasten razvoj, posodobitev aplikacije ranljivosti v PHP ne zapre. ## Backporti: ko številka različice zavaja Številne distribucije Linuxa in ponudniki gostovanja PHP dobavljajo v lastnih paketih. Namesto preskoka na novo izvorno različico popravek prevzamejo kot backport v obstoječo različico. To ima praktično posledico: prikazana številka ostane stara. Primer iz aktualnega stanja je Plesk, ki lahko še naprej prikazuje 8.2.34, čeprav je napaka odpravljena. Za vas to pomeni: zgornja tabela velja za uradne izdaje php.net. Pri paketih iz vaše distribucije ali od ponudnika gostovanja odločata stanje paketa in potrditev ponudnika. Kako preverite oboje, kaže stran [Pravilno preverjanje različice PHP in stanja popravkov](https://phpsos.de/sl/php2shell/php-version-pruefen/). Za hiter test v ukazni vrstici: ```bash php -v apt policy php8.3-fpm # Debian/Ubuntu, ime paketa se razlikuje glede na različico in vir dnf info php-fpm # družina RHEL ``` > **Pomembno:** > Odpravljena številka različice na disku še ne pomeni, da tudi teče. Šele po ponovnem zagonu vseh procesov PHP strežnik dela s popravljeno kodo. ## Kaj velja za PHP 8.1 in starejše? Za PHP 8.1, 8.0 in 7.4 obstajajo samo minimalni backporti izvorne kode, torej popravki v izvorni kodi, ki jih mora nekdo sam prevzeti in prevesti. Uradne izdaje ne izhajajo. Nekatere distribucije z dolgoročnim vzdrževanjem takšne popravke vgradijo v svoje pakete; ali to velja za vaš sistem, je mogoče razjasniti samo z dnevnikom sprememb paketa ali pri ponudniku. Dolgoročno brez podprte različice ne gre. Katero različico PHP vaš CMS ali trgovina prenese, preverite po sistemskih zahtevah proizvajalca, na primer na wordpress.org, shopware.com ali typo3.org. Več o tem na strani [PHP 8.1 in starejši: kaj velja zdaj](https://phpsos.de/sl/php2shell/php-8-1-und-aelter/). ## In CVE-2026-115560? 23. oktobra je php.net objavil opozorilo o tretji ranljivosti. Deluje samo pri nenavadni konfiguraciji sej. Odpravljene različice po stanju z dne 25. oktobra še ni; do naslednje redne izdaje s popravki napak je rešitev `session.upload_progress.enabled=0`. Seznam različic se pričakuje šele s popolnim varnostnim obvestilom. ## Kako konkretno pomaga PHP SOS? - **Popis:** zabeležimo vse različice PHP na vaših strežnikih, tudi druge namestitve za posamezne spletne strani, ki jih radi spregledajo. - **Primerjava:** za vsako namestitev razjasnimo, ali gre za uradno izdajo, backport distribucije ali brez popravka. - **Posodobitev z dokazilom:** prek [storitve popravljanja PHP](https://phpsos.de/sl/leistungen/php-patch-service/) namestimo popravek in znova zaženemo vse procese. - **Načrt selitve:** za različice brez uradnih posodobitev z [selitvijo s PHP 8.1 in starejšega](https://phpsos.de/sl/leistungen/php-migration-legacy/) načrtujemo prehod in do takrat zavarujemo strežnik. ## Pogosta vprašanja **Ali je PHP 8.3.35 še varen?** Ne, razen če je vaš ponudnik namestil backport. 8.3.35 je zadnje stanje pred popravkom; PHP2Shell je v veji 8.3 odpravljen od 8.3.36. Pri paketih distribucij lahko številka ostane enaka, čeprav je napaka odpravljena. Takrat šteje dnevnik sprememb paketa ali potrditev ponudnika. **Ali je PHP 7.4 prizadet zaradi PHP2Shell?** Po poročilih strokovnega tiska so prizadete skoraj vse različice nazaj do PHP 5.4. Za 7.4, 8.0 in 8.1 obstajajo samo minimalni backporti izvorne kode in ne uradne izdaje. Prehod na podprto različico je zanesljiva pot. **Zakaj Plesk prikazuje 8.2.34, čeprav je bilo popravljeno?** Distribucije in ponudniki gostovanja popravke deloma prevzamejo kot backport v obstoječe pakete. Številka različice potem ostane enaka, napaka pa je kljub temu odpravljena. Preverite stanje paketa ali si popravek potrdite pri ponudniku. **Katero različico PHP naj zdaj izberem?** Podprto različico, ki jo vaša aplikacija po sistemskih zahtevah proizvajalca potrjuje. PHP 8.2 doseže konec podpore 31. 12. 2026; kdor zdaj tako ali tako zamenjuje, naj to upošteva. ## Viri - [php.net: varnostna obvestila](https://www.php.net/) - [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php) - [php.net: podprte različice](https://www.php.net/supported-versions.php) - [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)