PHP LTS Sicherheits-Fixes sind eingetroffen

Das ist richtig, dank eines Freexian-Abonnements erhalten auslaufende PHP-Versionen einen erweiterten Support!

Die Lebensspanne einer PHP-Version

Eine PHP-Version wird offiziell für insgesamt 3 Jahre unterstützt, wobei es innerhalb dieser 3 Jahre zwei verschiedene Zeiträume gibt, nämlich

• 2 Jahre aktiver Support
• 1 Jahr Sicherheits-Fixes

Nach dem letzten Jahr der Sicherheits-Fixes wird die Version als "end of life" betrachtet und erhält keine Fehlerbehebungen oder Sicherheits-Fixes mehr.

Aus diesem Grund empfehlen wir unseren Upsun-Nutzern immer, eine unterstützte PHP-Version zu verwenden, um die beste Performance und Sicherheit zu gewährleisten. Und die gute Nachricht ist, dass es mit unserer Plattform ganz einfach ist, in nur wenigen Schritten auf die neueste PHP-Version zu aktualisieren: Verzweigen, aktualisieren, bereitstellen, testen und zusammenführen. In diesem Blog erklären wir Ihnen, wie das geht.

Was ist, wenn ich nicht auf die neuesten PHP-Versionen aktualisieren kann?

Wir wissen, es ist nicht immer einfach oder möglich, jedes Mal auf die neueste PHP-Version zu aktualisieren, wenn eine neue Version zur Verfügung gestellt wird. Projekte beinhalten oft Herausforderungen wie:

• Benutzerdefinierter Code, der auf die neueste Version aktualisiert werden muss.
• Nicht unterstützte Plugins, die in den neuesten Versionen möglicherweise nicht mehr enthalten sind.
• Ein langer Lebenszyklus mit umfangreichen QA-Schritten.

Aus diesem Grund werden trotz aller Tools und guten Absichten viele "End-of-Life"-Versionen von PHP immer noch häufig in Produktionsanwendungen eingesetzt. Was ist also die Alternative?

Verbesserung der Anwendungssicherheit durch langfristigen PHP-Support

Jedes Jahr, wenn eine PHP-Version ihr "Lebensende" erreicht, erhalten wir viele Anfragen von unseren Kunden und Partnern bezüglich der Sicherheit ihrer Anwendungen. Viele von ihnen wollen aus ähnlichen Gründen wie den oben genannten nicht auf eine neue PHP-Version migrieren, sondern wollen wissen, ob ihre Anwendungen weiterhin sicher sind. Also haben wir uns auf die Suche nach einer Lösung gemacht, die langfristigen Support für PHP bietet.

Die gute Nachricht ist, dass wir eine Lösung gefunden und sie implementiert haben. End-of-Life-PHP wird weiterhin Sicherheitsupdates für unsere Benutzer erhalten. Allerdings sind wir trotz unserer PHP-Erfahrung und all unserer erfahrenen Ingenieure keine PHP-Maintainer. Aus diesem Grund haben wir uns mit Freexian in Verbindung gesetzt.

Freexian ist ein Dienstleistungsunternehmen, das sich auf Freie Software und insbesondere auf Debian spezialisiert hat und langfristigen Support für Debian und PHP anbietet. Sie beschreiben ihren Sicherheits-Support wie folgt:

Upstream-Sicherheits- und Stabilitätskorrekturen, wie sie in den stabilen PHP-Veröffentlichungen angewendet werden, werden in die von Freexian LTS-unterstützten PHP-Veröffentlichungen zurückportiert. Dies ist im Wesentlichen derselbe Support, den Upstream PHP für seine Upstream-unterstützten Versionen anbietet, aber auch noch lange nachdem Upstream PHP die Unterstützung eingestellt hat.

Wir prüfen und bewerten Sicherheitsprobleme regelmäßig und wenden Patches je nach Auswirkung und Kompatibilität mit den älteren PHP-Versionen an. Dies geschieht auf einer Best-Effort-Basis. Wenn ein Problem nicht behoben werden kann, werden eventuell Abhilfemaßnahmen empfohlen.

Viele Sicherheitsaktualisierungen werden mit Regressionstests geliefert, um sicherzustellen, dass sie behoben werden. Diese werden in der Regel mit dem Patch zurückportiert, um ihre Korrektheit zu gewährleisten und zukünftige Regressionen zu vermeiden.

Dies ist derselbe Grad an Sicherheitsunterstützung, der für PHP-Pakete in den regulären stabilen Debian-Veröffentlichungen durch dasselbe Team bereitgestellt wird.

Wie bekomme ich dieses PHP LTS?

PHP-Versionen werden jetzt mit LTS-Unterstützung ohne zusätzliche Kosten abgedeckt. Ihre Projekte erhalten die letzte Version, wenn das Image aktualisiert wird, was geschieht, wenn ein Projekt neu bereitgestellt wird oder wenn das SSL-Zertifikat erneuert wird.

Um sicherzustellen, dass Ihre Projekte eine LTS-Version verwenden, können Sie mit dem folgenden CLI-Befehl ein Redeploy erzwingen:

Upsun redeploy

Alternativ können Sie dies auch in der Konsole tun:

• Wählen Sie das Projekt und die Umgebung aus
• Klicken Sie auf das Menü 'More' und wählen Sie 'Redeploy'.

Welche PHP-Versionen werden unterstützt?

Zum Zeitpunkt der Erstellung dieses Blog-Beitrags sind die Versionen PHP 8.3 und 8.4 rückwirkend von dieser erweiterten Unterstützung betroffen.

Das Team arbeitet aktiv daran, die gleiche Unterstützung für die Versionen 7.2, 7.4 und 8.0 bereitzustellen.

Bleiben Sie mit PHP-Upgrades auf dem Laufenden!

Wir tun unser Bestes, um den Support für PHP-Versionen zu verlängern, aber letztendlich werden ältere Versionen irgendwann verschwinden, da es möglich ist, dass jemand ein Sicherheitsproblem entdeckt, das einfach nicht behoben werden kann und uns zwingt, eine Version aus dem Verkehr zu ziehen.

Deshalb ist ein Upgrade Ihrer PHP-Version, selbst von einer Minor-Version auf eine andere Minor-Version, immer ein guter Schritt und unser Top-Tipp, wenn es darum geht, Ihre Leistung und Sicherheit zu optimieren.