PHP versijų palaikymas 2026 m.: kurios šakos dar gauna saugumo pataisas ir ką daryti

PHP yra kalba, kuria veikia „WordPress“, „PrestaShop“, „Joomla“, „Drupal“ ir daugybė pagal užsakymą rašytų svetainių. Ji atnaujinama šakomis (8.2, 8.3, 8.4), o kiekviena šaka turi aiškią datą, nuo kurios PHP projektas jai nebeleidžia saugumo pataisų. Tokia šaka veikianti svetainė neužsidaro, bet nauja PHP spraga joje lieka neužtaisyta.

Šis gidas sudėlioja php.net paskelbtus terminus, parodo, kaip sužinoti savo versiją, ir siūlo tvarką, kaip pereiti prie palaikomos šakos be nuostolių.

Kurios PHP šakos dar palaikomos 2026 m.

Pagal php.net kiekviena PHP šaka nuo pirmojo stabilaus leidimo dvejus metus palaikoma aktyviai (taisomos klaidos ir saugumo spragos), o dar dvejus metus – tik dėl kritinių saugumo problemų. Po ketverių metų šaka pasiekia gyvavimo pabaigą ir nebėra palaikoma. 2026 m. spalio 24 d. padėtis tokia:

Viena išlyga: „Linux“ distribucijos („Debian“, „Ubuntu“, „RHEL“) gali pačios perkelti saugumo pataisas į savo PHP paketus nekeisdami šakos numerio. Todėl versijos numeris rodo šaką, o ne tikslų pataisų lygį. Kas tiksliai įdiegta, žino tik serverio administratorius arba prieglobos tiekėjas – jų ir klauskite.

Kaip sužinoti savo svetainės PHP versiją

Nereikia nieko diegti; užtenka vieno iš šių būdų, pasirinkto pagal tai, kas jūsų svetainę prižiūri.

1. Prieglobos valdymo skydelis. Prieglobos skydeliai, tokie kaip „cPanel“, „Plesk“ ar „DirectAdmin“, turi PHP versijos skiltį, kurioje matoma dabartinė šaka; ar ją galite pakeisti patys, priklauso nuo tiekėjo plano. Jei skilties nerandate, paklauskite prieglobos tiekėjo.
2. „WordPress“ skiltis „Site Health“. Valdymo skydelyje atidarykite „Tools“ → „Site Health“. Skirtuke „Status“ „WordPress“ įspėja, kai svetainė veikia pasenusia PHP versija, o skirtuko „Info“ skiltyje „Server“ rodomi serverio ir PHP parametrai.
3. phpinfo() failas. Administratorius gali laikinai įkelti vieną failą su eilute <?php phpinfo(); ir jį atidaryti naršyklėje – pirmoje eilutėje bus tiksli versija. Failą būtina iš karto ištrinti: jame matoma visa serverio konfigūracija.
4. „X-Powered-By“ antraštė. Jei serveris jos nėra paslėpęs, bet kuris lankytojas ją mato naršyklės kūrėjo įrankiuose („Network“ → pirmoji užklausa → „Response Headers“). Patikrinkite savo svetainę – ką matote jūs, tą mato ir visi kiti.
5. Komandinė eilutė. Turintiems SSH prieigą: php -v. Atkreipkite dėmesį, kad komandinės eilutės PHP gali skirtis nuo tos, kurią naudoja žiniatinklio serveris.

Kodėl „X-Powered-By“ antraštę verta paslėpti

Nustatymo expose_php aprašyme php.net rašoma, kad jis „atskleidžia pasauliui, jog serveryje įdiegtas PHP, įskaitant PHP versiją HTTP antraštėje“, pavyzdžiui, „X-Powered-By: PHP/5.3.7“.

Vadovo skyriuje „Hiding PHP“ patariama php.ini faile nustatyti expose_php į Off ir kartu pripažįstama, kad slėpimas yra viena silpniausių apsaugos formų – jis tik sumažina informacijos kiekį, kurį gauna spragų ieškantis asmuo.

Praktinė prasmė paprasta: antraštė nieko neapsaugo, bet nebepalaikomą šaką rodo kiekvienam automatizuotam skenavimui. Ją išjungti – vienos eilutės darbas administratoriui arba prašymas prieglobos tiekėjui. Tai atnaujinimą papildo, bet jo nepakeičia.

Ką rodo mūsų stebėjimas: 124 svetainės, 46 nebepalaikomos

2026 m. spalio 24 d. peržiūrėjome Lietuvos įmonių svetainių imtį iš savo sąrašų – kiekvienai svetainei po vieną viešo pagrindinio puslapio užklausą, laikantis robots.txt, be jokių kitų kelių ar bandymų. Visa metodika ir kiti rodikliai aprašyti Lietuvos įmonių svetainių saugumo tyrime. PHP dalis tokia:

Du įspėjimai, kurie galioja kaskart, kai cituojami šie 37 %. Pirma, imtis nėra atsitiktinė: į ją patenka tik svetainės, kurios antraštės nepaslėpė, o tokios, tikėtina, dažniau yra mažiau prižiūrimos (vertinimas), tad skaičiaus negalima taikyti Lietuvos įmonėms apskritai.

Antra, antraštė rodo šaką, ne pataisų lygį – dalis 7.4 ar 8.1 serverių gali turėti distribucijos perkeltas pataisas. Vis dėlto 14 svetainių veikė 7.4 šaka, kurios palaikymas baigėsi 2022 m. lapkričio 28 d., t. y. beveik ketveri metai iki stebėjimo dienos.

Kas gali sugesti atnaujinant

Pagrindinė priežastis, kodėl svetainės lieka senose šakose, – baimė, kad po atnaujinimo kas nors nustos veikti. Ji pagrįsta, bet valdoma.

• „WordPress“ reikalavimai. WordPress.org reikalavimų puslapyje rekomenduojama PHP 8.3 ar naujesnė. Ten pat pažymima, kad „WordPress“ veikia ir su PHP 7.4+, tačiau šios versijos pasiekė oficialią gyvavimo pabaigą ir gali kelti saugumo pavojų svetainei. Tad pati sistema su sena šaka veikti netrukdo, bet jos ir nerekomenduoja.
• Įskiepiai ir temos. Dažniausia kliūtis – ne „WordPress“ branduolys, o seniai neatnaujintas įskiepis arba pagal užsakymą rašyta tema, naudojanti funkcijas, kurių naujoje šakoje nebėra. Kiekvieno įskiepio puslapyje wordpress.org nurodyta mažiausia reikalinga PHP versija („PHP version X or higher“) ir su kuria „WordPress“ versija jis išbandytas („Tested up to“) – pastaroji žyma nėra patvirtinimas, kad įskiepis veikia su jūsų pasirinkta PHP šaka. Įskiepių sąrašą su versijomis matysite „WordPress“ skiltyje „Site Health“ → „Info“ → „Active Plugins“.
• Pagal užsakymą rašytas kodas. Kiekvienai šakai php.net skelbia perėjimo gidą su skyriumi „Backward Incompatible Changes“ (7.4 → 8.0, 8.0 → 8.1 ir taip toliau iki 8.4 → 8.5). Jei peršokate kelias šakas, su kūrėju peržiūrėkite kiekvienos praleidžiamos šakos gidą – iš 7.4 į 8.3 jų yra keturi.
• Prieglobos aplinka. Senesni prieglobos planai kartais apskritai nesiūlo 8.3 ar 8.4. Tada klausimas ne apie svetainę, o apie tiekėją.

Perkėlimo tvarka

1. Užsirašykite, kas yra dabar. Dabartinė PHP šaka, „WordPress“ ar kitos sistemos versija, visų įskiepių ir temos sąrašas su versijomis, kas svetainę prižiūri ir kas turi prieigą prie prieglobos.
2. Pasidarykite atsarginę kopiją. Visa failų ir duomenų bazės atsarginė kopija, kurią galite atkurti. Jei prieglobos tiekėjas siūlo bandomąją („staging“) aplinką, dirbkite joje.
3. Pirma atnaujinkite programinę įrangą, tik paskui PHP. „WordPress“ branduolys, įskiepiai, tema – iki naujausių versijų dabartinėje šakoje. Nenaudojamus įskiepius ištrinkite, o ne tik išjunkite.
4. Perjunkite PHP šaką bandomojoje aplinkoje. Pradėkite nuo šakos, kurią rekomenduoja jūsų sistema („WordPress“ atveju – 8.3 ar naujesnė). Jei bandomosios aplinkos neturite, rinkitės ramiausią paros metą ir turėkite kelią atgal: prieglobos skydelyje šaką paprastai galima grąžinti per kelias minutes (vertinimas).
5. Patikrinkite pagrindinius kelius. Pradžios puslapis, kontaktų forma, prisijungimas prie valdymo skydelio, paieška, o el. parduotuvėje – krepšelis ir apmokėjimas. Peržiūrėkite PHP klaidų žurnalą: įspėjimai apie pasenusias funkcijas rodo, kurį įskiepį reikės keisti kitą kartą.
6. Perjunkite gamybinę svetainę ir paslėpkite antraštę. Po perjungimo paprašykite nustatyti expose_php = Off ir dar kartą patikrinkite atsakymo antraštes.
7. Įsirašykite kitą terminą. PHP 8.2 saugumo pataisos baigiasi 2026 m. gruodžio 31 d., 8.3 – 2027 m. gruodžio 31 d. Kalendoriuje pasižymėkite datą bent tris mėnesius anksčiau, kad perkėlimas būtų planinis, o ne skubus.

Ribos

Šis gidas remiasi tik viešai skelbiama informacija: php.net palaikymo terminais, wordpress.org reikalavimais ir mūsų pačių stebėjimu, kuriame kiekvienai svetainei atlikta po vieną viešą užklausą. Jis nesako, ar konkreti svetainė turi spragą – tai priklauso nuo tikslaus pataisų lygio, įskiepių ir konfigūracijos, kurių iš išorės nematyti ir kurių nebandome nustatyti.

Jei norite, kad jūsų svetainės PHP, įskiepių ir el. pašto apsaugos būklę peržiūrėtume kartu su jūsų administratoriumi pagal rašytinį susitarimą, aprašykite situaciją Northwestern Tideline užklausos formoje. Platesnis kontekstas – kibernetinio saugumo įmonei gide.