Les correctifs de sécurité de PHP LTS sont arrivés

C'est exact grâce à un abonnement Freexian, les versions de PHP en fin de vie bénéficient d'un support étendu !

La durée de vie d'une version de PHP

Une version de PHP est officiellement supportée pour une durée totale de 3 ans, avec deux périodes distinctes au sein de ces 3 ans, qui sont :

• 2 ans de support actif
• 1 an de correctifs de sécurité

Après cette dernière année de correctifs de sécurité, la version est considérée comme "en fin de vie" et ne recevra plus de correctifs de bugs ou de sécurité.

En gardant cela à l'esprit, nous encourageons toujours nos utilisateurs Upsun à utiliser une version supportée de PHP afin d'assurer les meilleures performances et la meilleure sécurité. La bonne nouvelle, c'est qu'avec notre plateforme, il est facile de passer à la dernière version de PHP en seulement quelques étapes : branche, mise à jour, déploiement, test et fusion. Consultez ce blog où nous expliquons comment procéder.

Et si je ne peux pas mettre à jour vers les dernières versions de PHP ?

Nous comprenons. Il n'est pas toujours facile ou possible de passer à la dernière version de PHP à chaque fois qu'une nouvelle version est disponible. Les projets impliquent souvent des défis tels que

• Un code personnalisé qui doit être mis à jour vers la dernière version.
• Des plugins non supportés qui peuvent avoir été abandonnés dans les dernières versions.
• Un long cycle de vie avec d'importantes étapes d'assurance qualité.

C'est pourquoi, malgré tous les outils et les bonnes intentions, de nombreuses versions de PHP "en fin de vie" sont encore largement utilisées dans les applications de production. Quelle est donc l'alternative ?

Renforcer la sécurité des applications grâce au support à long terme de PHP

Chaque année, lorsqu'une version de PHP arrive en fin de vie, nous recevons de nombreuses demandes de nos clients et partenaires concernant la sécurité de leurs applications. Beaucoup d'entre eux ne veulent pas migrer vers une nouvelle version de PHP pour des raisons similaires à celles mentionnées ci-dessus, mais veulent savoir si leurs applications seront toujours sécurisées. Nous avons donc commencé à chercher une solution pour fournir un support à long terme pour PHP.

La bonne nouvelle est que nous avons trouvé une solution et que nous l'avons mise en œuvre. PHP en fin de vie continuera à recevoir des correctifs de sécurité pour nos utilisateurs. Cependant, même avec notre héritage PHP et tous nos ingénieurs qualifiés, nous ne sommes pas des mainteneurs PHP. C'est pourquoi nous avons pris contact avec Freexian.

Freexian est une société de services spécialisée dans les logiciels libres et, en particulier, dans Debian, qui offre un support à long terme pour Debian et PHP. Elle décrit son support de sécurité comme suit

Les correctifs de sécurité et de stabilité en amont, tels qu'ils sont appliqués aux versions stables de PHP, sont rétroportés dans les versions de PHP supportées par Freexian LTS. Il s'agit essentiellement du même support que celui fourni par PHP en amont pour ses versions supportées en amont, mais qui continue longtemps après que PHP en amont ait cessé de les supporter.

Nous examinons et trions régulièrement les problèmes de sécurité et appliquons les correctifs en fonction de l'impact et de la compatibilité avec les anciennes versions de PHP. Cela se fait dans la mesure du possible. Lorsqu'un problème ne peut être résolu, des mesures d'atténuation peuvent être recommandées.

De nombreuses mises à jour de sécurité sont accompagnées de tests de régression pour s'assurer qu'elles sont corrigées. Ceux-ci sont généralement rétroportés avec le correctif, ce qui permet de garantir leur exactitude et d'éviter toute régression future.

C'est le même niveau de sécurité que celui fourni pour les paquets PHP dans les versions stables de Debian, par la même équipe.

Comment puis-je obtenir cette LTS de PHP ?

Les versions de PHP sont maintenant couvertes par le support LTS sans frais supplémentaires. Vos projets recevront la dernière version lorsque l'image est mise à jour, ce qui se produit lorsqu'un projet est redéployé ou lorsque le certificat SSL est renouvelé.

Pour vous assurer que vos projets utilisent une version LTS, vous pouvez forcer un redéploiement en utilisant la commande CLI suivante :

Upsun redeploy

Alternativement, dans la console, vous pouvez :

• Sélectionner le projet et l'environnement
• Cliquer sur le menu 'Plus' et sélectionner 'Redéployer'.

Quelles sont les versions de PHP prises en charge ?

Au moment de la rédaction de ce billet de blog, les versions rétroactivement affectées par ce support étendu sont PHP 8.3 et 8.4.

L'équipe travaille activement à fournir le même support aux versions 7.2, 7.4 et 8.0.

Restez en avance sur les mises à jour de PHP !

Nous faisons de notre mieux pour étendre le support des versions de PHP, mais en fin de compte, les anciennes versions disparaîtront à un moment donné, car il est possible que quelqu'un découvre un problème de sécurité qui ne peut pas être corrigé et qui nous oblige à retirer une version.

C'est pourquoi la mise à jour de votre version de PHP, même d'une version mineure à une autre version mineure, est toujours une bonne décision et notre meilleur conseil lorsqu'il s'agit d'optimiser vos performances et votre sécurité.