PHP's fremtid

Kort sagt: PHP's fremtid er i væsentlige dele fastlagt og kan læses offentligt. Hver version får fire års understøttelse, heraf to kun med sikkerhedsrettelser, hver gang til den 31. december. PHP 8.6 er ifølge planlægningen planlagt til 19.11.2026 og bringer blandt andet sikrere session-standarder. Til PHP 9.0 findes der vedtagne ændringsforslag, men ingen varslet dato. For virksomheder betyder det: planlægbare opgraderinger i stedet for overraskelser, så længe de bruger understøttede versioner.

Hvordan afgøres PHP's fremtid?

Nye funktioner og regler opstår i PHP via RFC'er (Request for Comments). Et forslag offentliggøres i PHP-wikien, drøftes på mailinglisten og sættes derefter til afstemning. Til de nye session-standarder var der for eksempel ifølge RFC'en brug for et to tredjedeles flertal. Først en vedtaget og gennemført RFC er en dokumenteret planlægning; forslag under drøftelse er idéer, ikke tilsagn.

Det er en fordel for beslutningstagere: Den, der vil vide, hvad der kommer, kan læse listen i wikien i stedet for at stole på rygter. På denne side nævner vi derfor kun vedtagne eller gennemførte RFC'er og officielle datoer.

Faste supporttider: fire år pr. version

I 2024 tilpassede PHP-projektet release-cyklussen via en RFC. Siden gælder: to års aktiv understøttelse med fejl- og sikkerhedsrettelser, derefter to år kun til kritiske sikkerhedsproblemer. Fristerne udløber ensartet den 31. december. Release candidates må ikke længere indeholde nye funktioner.

Værdierne for 8.2 til 8.5 stammer fra php.net, dem for 8.6 har vi udledt af den gældende regel; de er først bindende, når php.net offentliggør dem. Hvad det betyder for ældre versioner, beskriver PHP-versioner og release-cyklus og PHP end of life: risici ved forældede versioner.

PHP 8.6: hvad der er besluttet

Ifølge tidsplanen i PHP-wikien er udgivelsen af PHP 8.6.0 planlagt til 19.11.2026. Den 21.10.2026 udkom den fjerde release candidate, der ifølge php.net allerede indeholder rettelserne til de to PHP2Shell-sårbarheder; tidligere 8.6-testversioner skal erstattes. Den næste release candidate er varslet til 05.11.2026. Testversioner hører ikke hjemme i produktion.

Et udvalg af de RFC'er, som i wikien føres som gennemført til PHP 8.6:

1. Sikre session-standarder: session.use_strict_mode og session.cookie_httponly slås som standard til, session.cookie_samesite sættes til Lax.
2. Funktionsargumenter i fejlmeddelelser: yderligere oplysninger, der hjælper ved fejlfinding.
3. Begrænsning af filterkæder: en øvre grænse for antallet af kædede filtre.
4. Nye sprogmidler: blandt andet clamp(), partiel funktionsanvendelse og standardværdier til readonly-egenskaber.
5. Varsling om udfasning: returværdier fra __construct() og __destruct() markeres som forældede.

Hvad der allerede kom med PHP 8.0 til 8.5, sammenfatter PHP 8.0 til 8.5: de vigtigste nyheder.

PHP 9.0: vedtagne forslag, ingen dato

Flere RFC'er forudser udtrykkeligt ændringer til PHP 9.0 og er vedtaget, men endnu ikke gennemført. Dertil hører: fejl i stedet for advarsel ved udefinerede variabler og egenskaber, fjernelse af skrivemåden ${} i tekststrenge, fjernelse af sessions-id'er via GET og POST og afslutningen på implicit nullbare parametertyper. En udgivelsesdato for PHP 9.0 er ikke varslet på php.net.

For planlægningen betyder det: Kode, der i dag frembringer advarsler om forældede funktioner, bør ryddes op nu. Så bliver det senere spring intet stort projekt.

I wikien står der desuden mange forslag under drøftelse, f.eks. en fælles binær til kommandolinje og FPM eller samtidighed (concurrency) i motoren. Om de kommer, er åbent.

Hvem bærer PHP

PHP vedligeholdes af frivillige og betalte udviklere. For hver version findes der et team af release managers; for PHP 8.6 nævner wikien Daniel Scherzer, Matteo Beccati og Joe Ferguson. PHP Foundation beskriver som sin opgave at sikre sprogets langsigtede trivsel og hyrer ifølge egen fremstilling et team af deltids- og fuldtidsudviklere til vedligeholdelse, sikkerhed og nye funktioner.

Også infrastrukturen moderniseres: Siden PHP 8.5 er OPcache fast indbygget, og via RFC blev det besluttet at anbefale PIE til udvidelser og kendetegne PECL som forældet.

Hvad PHP's fremtid betyder for jeres sikkerhed

PHP2Shell har vist, hvor vigtige supporttiderne er. Til 8.2 til 8.5 kom der officielle rettelser den 21.10.2026; til 8.1 og ældre var der kun minimale kilde-backports. PHP 8.2 slutter den 31.12.2026. Den, der planlægger i dag, bør fastholde tre ting:

• Hver anvendt version har brug for et kendt supportslut i kalenderen.
• Skiftet til den næste understøttede version hører rettidigt før denne dato.
• Nye standarder som de sikre sessionsindstillinger i 8.6 er velkomne, men erstatter ikke en bevidst konfiguration.

Hvordan hjælper PHP SOS konkret?

Ved migreringen til en understøttet PHP-version går vi frem på denne måde:

• Beholdning og frister: Vi registrerer alle PHP-versioner og indfører deres supportslut i jeres plan.
• Kontrollere opgraderingsevnen: Vi viser, hvilke applikationer og udvidelser der blokerer for en ny version.
• Gennemføre skiftet: Test, omstilling, genstart og kontrol, version for version.
• Se fremad: Vi følger RFC'er og udgivelsesdatoer og melder, når en ændring berører jeres systemer.

Ofte stillede spørgsmål

Kilder

• php.net: Understøttede versioner
• PHP RFC: Release cycle update
• PHP-RFC'er (oversigt)
• PHP RFC: Secure Session Configuration Defaults