PHP tulevik

Lühidalt: PHP tulevik on olulises osas fikseeritud ja avalikult loetav. Iga versioon saab neli aastat tuge, millest kaks ainult turvaparandustega, alati kuni 31. detsembrini. PHP 8.6 on plaani järgi ette nähtud 19.11.2026 ja toob muu hulgas turvalisemad sessiooni vaikeväärtused. PHP 9.0 kohta on vastuvõetud muudatusettepanekud, kuid välja kuulutatud tähtaega ei ole. Ettevõtetele tähendab see: planeeritavad uuendused üllatuste asemel, kuni nad kasutavad toetatud versioone.

Kuidas PHP tuleviku üle otsustatakse?

Uued funktsioonid ja reeglid tekivad PHP-s RFC-de (Request for Comments) kaudu. Ettepanek avaldatakse PHP wikis, seda arutatakse meililistis ja seejärel hääletatakse. Uute sessiooni vaikeväärtuste jaoks oli näiteks RFC järgi vaja kahe kolmandiku enamust. Alles vastu võetud ja ellu viidud RFC on tõendatud planeerimine; arutelus olevad ettepanekud on ideed, mitte lubadused.

Otsustajale on see eelis: kes tahab teada, mis tuleb, saab lugeda wiki nimekirja, selle asemel et toetuda kuulujuttudele. Sellel lehel nimetame seetõttu ainult vastuvõetud või ellu viidud RFC-sid ja ametlikke tähtaegu.

Kindlad toeajad: neli aastat versiooni kohta

2024. aastal kohandas PHP projekt väljalasketsüklit RFC-ga. Sestpeale kehtib: kaks aastat aktiivset tuge vea- ja turvaparandustega, seejärel kaks aastat ainult kriitiliste turvaprobleemide jaoks. Tähtajad lõpevad ühtselt 31. detsembril. Release Candidate'id ei tohi enam uusi funktsioone sisaldada.

Väärtused versioonide 8.2 kuni 8.5 jaoks pärinevad php.net-ist, versiooni 8.6 omad oleme tuletanud kehtivast reeglist; siduvad on need alles siis, kui php.net need avaldab. Mida see vanemate versioonide jaoks tähendab, kirjeldavad PHP versioonid ja väljalasketsükkel ning PHP End of Life: iganenud versioonide riskid.

PHP 8.6: mis on otsustatud

PHP wiki ajakava järgi on PHP 8.6.0 avaldamine ette nähtud 19.11.2026. 21.10.2026 ilmus neljas Release Candidate, mis sisaldab php.net andmetel juba parandusi mõlema PHP2Shelli turvaaugu jaoks; varasemad 8.6 testversioonid tuleb asendada. Järgmine Release Candidate on välja kuulutatud 05.11.2026. Testversioonid ei kuulu tootmisse.

Valik RFC-dest, mis wikis PHP 8.6 jaoks ellu viidud on:

1. Turvalised sessiooni vaikeväärtused: session.use_strict_mode ja session.cookie_httponly lülitatakse vaikimisi sisse, session.cookie_samesite seatakse väärtusele Lax.
2. Funktsiooniargumendid veateadetes: lisaandmed, mis aitavad veaotsingul.
3. Filtriahelate piiramine: ülempiir aheldatud filtrite arvule.
4. Uued keelevahendid: muu hulgas clamp(), osaline funktsioonirakendus ja vaikeväärtused readonly-omadustele.
5. Iganemine: tagastusväärtused funktsioonidest __construct() ja __destruct() märgitakse iganenuks.

Mis tuli juba PHP 8.0 kuni 8.5-ga, võtab kokku PHP 8.0 kuni 8.5: olulisemad uuendused.

PHP 9.0: vastuvõetud ettepanekud, tähtaega pole

Mitu RFC-d näevad selgesõnaliselt ette muudatusi PHP 9.0 jaoks ja on vastu võetud, kuid veel mitte ellu viidud. Nende hulka kuuluvad: hoiatuse asemel viga defineerimata muutujate ja omaduste korral, kirjaviisi ${} eemaldamine sõnedest, sessiooni ID-de eemaldamine GET-i ja POST-i kaudu ning kaudselt nullitavate parameetritüüpide lõpp. PHP 9.0 ilmumistähtaega ei ole php.net-is välja kuulutatud.

Planeerimiseks tähendab see: kood, mis täna tekitab iganenud funktsioonide hoiatusi, tuleks nüüd puhastada. Siis ei saa hilisemast hüppest suurprojekti.

Wikis on lisaks palju arutelus olevaid ettepanekuid, näiteks ühine binaar käsurea ja FPM-i jaoks või samaaegsus mootoris. Kas need tulevad, on lahtine.

Kes PHP-d kannab

PHP-d hooldavad vabatahtlikud ja tasulised arendajad. Iga versiooni jaoks on release-managerite tiim; PHP 8.6 jaoks nimetab wiki Daniel Scherzerit, Matteo Beccatit ja Joe Fergusoni. PHP Foundation kirjeldab oma ülesandena tagada keele pikaajaline õitseng ning tellib oma kirjelduse järgi osa- ja täisajaga arendajate tiimi hoolduse, turvalisuse ja uute funktsioonide jaoks.

Ka taristut moderniseeritakse: alates PHP 8.5-st on OPcache kindlalt sisse ehitatud ning RFC-ga otsustati soovitada laiendite jaoks PIE-d ja märkida PECL iganenuks.

Mida PHP tulevik tähendab teie turvalisusele

PHP2Shell on näidanud, kui olulised on toeajad. Versioonidele 8.2 kuni 8.5 tulid 21.10.2026 ametlikud parandused; 8.1 ja vanema jaoks oli veel ainult minimaalseid lähtekoodi backport'e. PHP 8.2 lõpeb 31.12.2026. Kes täna planeerib, peaks kolm asja kinnitama:

• Igal kasutatud versioonil peab kalendris olema teada toe lõpp.
• Üleminek järgmisele toetatud versioonile kuulub õigeaegselt enne seda kuupäeva.
• Uued vaikeväärtused nagu turvalised sessioonisätted 8.6-s on teretulnud, kuid ei asenda teadlikku seadistust.

Kuidas PHP SOS konkreetselt aitab?

Toetatud PHP versioonile ülemineku puhul tegutseme nii:

• Olemasolev ja tähtajad: Kaardistame kõik PHP versioonid ja kanname nende toe lõpu teie plaani.
• Uuendamisvõime kontroll: Näitame, millised rakendused ja laiendid uut versiooni blokeerivad.
• Vahetuse läbiviimine: Test, ümberlülitus, taaskäivitus ja kontroll, versioon versiooni haaval.
• Ettenägemine: Jälgime RFC-sid ja väljalasketähtaegu ning anname teada, kui muudatus teie süsteeme puudutab.

Korduma kippuvad küsimused

Allikad

• php.net: toetatud versioonid
• PHP RFC: Release cycle update
• PHP RFC-d (ülevaade)
• PHP RFC: Secure Session Configuration Defaults