De toekomst van PHP

Kort gezegd: De toekomst van PHP is in grote lijnen vastgelegd en openbaar na te lezen. Elke versie krijgt vier jaar ondersteuning, waarvan twee jaar alleen met beveiligingscorrecties, telkens tot 31 december. PHP 8.6 staat volgens de planning gepland voor 19 november 2026 en brengt onder meer veiligere sessiestandaarden. Voor PHP 9.0 zijn er aangenomen wijzigingsvoorstellen, maar geen aangekondigde datum. Voor bedrijven betekent dat: plannelijke upgrades in plaats van verrassingen, zolang ze ondersteunde versies gebruiken.

Hoe wordt over de toekomst van PHP beslist?

Nieuwe functies en regels ontstaan in PHP via RFC's (Request for Comments). Een voorstel wordt in de PHP-wiki gepubliceerd, op de mailinglijst besproken en dan in stemming gebracht. Voor de nieuwe sessiestandaarden was volgens de RFC bijvoorbeeld een tweederdemeerderheid nodig. Pas een aangenomen en uitgevoerde RFC is een onderbouwde planning; voorstellen in bespreking zijn ideeën, geen toezeggingen.

Voor beslissers is dat een voordeel: wie wil weten wat er komt, kan de lijst in de wiki lezen in plaats van op geruchten te vertrouwen. Op deze pagina noemen wij daarom alleen aangenomen of uitgevoerde RFC's en officiële data.

Vaste supporttermijnen: vier jaar per versie

In 2024 heeft het PHP-project de releasecyclus via een RFC aangepast. Sindsdien geldt: twee jaar actieve ondersteuning met fout- en beveiligingscorrecties, daarna twee jaar alleen voor kritieke beveiligingsproblemen. De termijnen eindigen uniform op 31 december. Release candidates mogen geen nieuwe functies meer bevatten.

De waarden voor 8.2 tot 8.5 komen van php.net, die voor 8.6 hebben wij uit de geldende regel afgeleid; bindend zijn ze pas wanneer php.net ze publiceert. Wat dat voor oudere versies betekent, beschrijven PHP-versies en releasecyclus en PHP-end-of-life: risico's van verouderde versies.

PHP 8.6: wat is besloten

Volgens het tijdschema in de PHP-wiki is de publicatie van PHP 8.6.0 voorzien voor 19 november 2026. Op 21 oktober 2026 verscheen de vierde release candidate, die volgens php.net al de correcties voor de beide PHP2Shell-lekken bevat; eerdere 8.6-testversies moeten worden vervangen. De volgende release candidate is aangekondigd voor 5 november 2026. Testversies horen niet in productie.

Een selectie van de RFC's die in de wiki als uitgevoerd voor PHP 8.6 worden vermeld:

1. Veilige sessiestandaarden: session.use_strict_mode en session.cookie_httponly worden standaard ingeschakeld, session.cookie_samesite op Lax gezet.
2. Functieargumenten in foutmeldingen: extra gegevens die bij de foutopsporing helpen.
3. Begrenzing van filterketens: een bovengrens voor het aantal gekoppelde filters.
4. Nieuwe taalmiddelen: onder meer clamp(), partiële functietoepassing en standaardwaarden voor readonly-eigenschappen.
5. Aankondiging van uitfasering: retourwaarden uit __construct() en __destruct() worden als verouderd gemarkeerd.

Wat al met PHP 8.0 tot 8.5 kwam, vat PHP 8.0 tot 8.5: de belangrijkste nieuwigheden samen.

PHP 9.0: aangenomen voorstellen, geen datum

Meerdere RFC's voorzien uitdrukkelijk wijzigingen voor PHP 9.0 en zijn aangenomen, maar nog niet uitgevoerd. Daartoe behoren: een fout in plaats van een waarschuwing bij ongedefinieerde variabelen en eigenschappen, het verwijderen van de schrijfwijze ${} in tekenreeksen, het verwijderen van sessie-ID's via GET en POST en het einde van impliciet nullable parametertypen. Een verschijningsdatum voor PHP 9.0 is op php.net niet aangekondigd.

Voor de planning betekent dat: code die vandaag waarschuwingen over verouderde functies veroorzaakt, moet nu worden opgeschoond. Dan wordt de latere sprong geen groot project.

In de wiki staan bovendien veel voorstellen in bespreking, bijvoorbeeld een gemeenschappelijke binary voor opdrachtregel en FPM of gelijktijdigheid in de engine. Of ze komen, is open.

Wie PHP draagt

PHP wordt onderhouden door vrijwilligers en betaalde ontwikkelaars. Voor elke versie is er een team van release managers; voor PHP 8.6 noemt de wiki Daniel Scherzer, Matteo Beccati en Joe Ferguson. De PHP Foundation beschrijft als haar taak het langetermijnbestaan van de taal veilig te stellen, en geeft volgens eigen zeggen een team van deeltijd- en voltijdontwikkelaars opdracht voor onderhoud, beveiliging en nieuwe functies.

Ook de infrastructuur wordt gemoderniseerd: sinds PHP 8.5 is OPcache vast ingebouwd, en via een RFC is besloten voor extensies PIE aan te bevelen en PECL als verouderd aan te merken.

Wat de toekomst van PHP voor uw beveiliging betekent

PHP2Shell heeft laten zien hoe belangrijk de supporttermijnen zijn. Voor 8.2 tot 8.5 kwamen op 21 oktober 2026 officiële correcties; voor 8.1 en ouder waren er alleen nog minimale bronbackports. PHP 8.2 eindigt op 31 december 2026. Wie nu plant, moet drie dingen vastleggen:

• Elke gebruikte versie heeft een bekend einde van de ondersteuning in de kalender nodig.
• De overstap naar de volgende ondersteunde versie hoort tijdig vóór die datum te vallen.
• Nieuwe standaarden zoals de veilige sessie-instellingen in 8.6 zijn welkom, maar vervangen geen bewuste configuratie.

Hoe helpt PHP SOS concreet?

Bij de migratie naar een ondersteunde PHP-versie gaan wij als volgt te werk:

• Bestand en termijnen: Wij inventariseren alle PHP-versies en nemen hun einde van de ondersteuning op in uw plan.
• Upgradevaardigheid controleren: Wij tonen welke toepassingen en extensies een nieuwe versie blokkeren.
• Overstap uitvoeren: Test, omschakeling, herstart en controle, versie voor versie.
• Vooruitkijken: Wij volgen RFC's en releasedata en melden het wanneer een wijziging uw systemen raakt.

Veelgestelde vragen

Bronnen

• php.net: ondersteunde versies
• PHP RFC: Release cycle update
• PHP-RFC's (overzicht)
• PHP RFC: Secure Session Configuration Defaults