Die Zukunft von PHP

Kurz gesagt: Die Zukunft von PHP ist in wesentlichen Teilen festgelegt und öffentlich nachlesbar. Jede Version erhält vier Jahre Unterstützung, zwei davon nur mit Sicherheitskorrekturen, jeweils bis zum 31. Dezember. PHP 8.6 ist laut Planung für den 19.11.2026 vorgesehen und bringt unter anderem sicherere Session-Standards. Für PHP 9.0 gibt es angenommene Änderungsvorschläge, aber keinen angekündigten Termin. Für Unternehmen heisst das: planbare Upgrades statt Überraschungen, solange sie unterstützte Versionen einsetzen.

Wie wird über die Zukunft von PHP entschieden?

Neue Funktionen und Regeln entstehen in PHP über RFCs (Request for Comments). Ein Vorschlag wird im PHP-Wiki veröffentlicht, auf der Mailingliste diskutiert und dann abgestimmt. Für die neuen Session-Standards etwa war laut RFC eine Zwei-Drittel-Mehrheit nötig. Erst ein angenommener und umgesetzter RFC ist eine belegte Planung; Vorschläge in Diskussion sind Ideen, keine Zusagen.

Das ist für Entscheider ein Vorteil: Wer wissen will, was kommt, kann die Liste im Wiki lesen, statt sich auf Gerüchte zu verlassen. Auf dieser Seite nennen wir deshalb nur angenommene oder umgesetzte RFCs und offizielle Termine.

Feste Supportzeiten: vier Jahre je Version

2024 hat das PHP-Projekt den Release-Zyklus per RFC angepasst. Seitdem gilt: zwei Jahre aktive Unterstützung mit Fehler- und Sicherheitskorrekturen, danach zwei Jahre nur für kritische Sicherheitsprobleme. Die Fristen enden einheitlich am 31. Dezember. Release Candidates dürfen keine neuen Funktionen mehr enthalten.

Die Werte für 8.2 bis 8.5 stammen von php.net, die für 8.6 haben wir aus der geltenden Regel abgeleitet; verbindlich sind sie erst, wenn php.net sie veröffentlicht. Was das für ältere Versionen bedeutet, beschreiben PHP-Versionen und Release-Zyklus und PHP-End-of-Life: Risiken veralteter Versionen.

PHP 8.6: was beschlossen ist

Laut Zeitplan im PHP-Wiki ist die Veröffentlichung von PHP 8.6.0 für den 19.11.2026 vorgesehen. Am 21.10.2026 erschien der vierte Release Candidate, der nach Angaben von php.net bereits die Korrekturen für die beiden PHP2Shell-Lücken enthält; frühere 8.6-Testversionen sollen ersetzt werden. Der nächste Release Candidate ist für den 05.11.2026 angekündigt. Testversionen gehören nicht in die Produktion.

Eine Auswahl der RFCs, die im Wiki als umgesetzt für PHP 8.6 geführt werden:

1. Sichere Session-Standards: session.use_strict_mode und session.cookie_httponly werden standardmässig eingeschaltet, session.cookie_samesite auf Lax gesetzt.
2. Funktionsargumente in Fehlermeldungen: zusätzliche Angaben, die bei der Fehlersuche helfen.
3. Begrenzung von Filterketten: eine Obergrenze für die Zahl verketteter Filter.
4. Neue Sprachmittel: unter anderem clamp(), partielle Funktionsanwendung und Standardwerte für readonly-Eigenschaften.
5. Abkündigung: Rückgabewerte aus __construct() und __destruct() werden als veraltet markiert.

Was schon mit PHP 8.0 bis 8.5 kam, fasst PHP 8.0 bis 8.5: Die wichtigsten Neuerungen zusammen.

PHP 9.0: angenommene Vorschläge, kein Termin

Mehrere RFCs sehen ausdrücklich Änderungen für PHP 9.0 vor und sind angenommen, aber noch nicht umgesetzt. Dazu gehören: Fehler statt Warnung bei undefinierten Variablen und Eigenschaften, das Entfernen der Schreibweise ${} in Zeichenketten, das Entfernen von Session-IDs über GET und POST und das Ende implizit nullbarer Parametertypen. Ein Erscheinungstermin für PHP 9.0 ist auf php.net nicht angekündigt.

Für die Planung heisst das: Code, der heute Warnungen zu veralteten Funktionen erzeugt, sollte jetzt bereinigt werden. Dann wird der spätere Sprung kein Grossprojekt.

Im Wiki stehen ausserdem viele Vorschläge in Diskussion, etwa eine gemeinsame Binary für Kommandozeile und FPM oder Nebenläufigkeit in der Engine. Ob sie kommen, ist offen.

Wer PHP trägt

PHP wird von Freiwilligen und bezahlten Entwicklern gepflegt. Für jede Version gibt es ein Team von Release-Managern; für PHP 8.6 nennt das Wiki Daniel Scherzer, Matteo Beccati und Joe Ferguson. Die PHP Foundation beschreibt als ihre Aufgabe, das langfristige Gedeihen der Sprache zu sichern, und beauftragt nach eigener Darstellung ein Team von Teil- und Vollzeitentwicklern für Wartung, Sicherheit und neue Funktionen.

Auch die Infrastruktur wird modernisiert: Seit PHP 8.5 ist OPcache fest eingebaut, und per RFC wurde beschlossen, für Erweiterungen PIE zu empfehlen und PECL als veraltet zu kennzeichnen.

Was die Zukunft von PHP für Ihre Sicherheit bedeutet

PHP2Shell hat gezeigt, wie wichtig die Supportzeiten sind. Für 8.2 bis 8.5 kamen am 21.10.2026 offizielle Korrekturen; für 8.1 und älter gab es nur noch minimale Quell-Backports. PHP 8.2 endet am 31.12.2026. Wer heute plant, sollte drei Dinge festhalten:

• Jede eingesetzte Version braucht ein bekanntes Supportende im Kalender.
• Der Wechsel auf die nächste unterstützte Version gehört rechtzeitig vor dieses Datum.
• Neue Standards wie die sicheren Session-Einstellungen in 8.6 sind willkommen, ersetzen aber keine bewusste Konfiguration.

Wie hilft PHP SOS konkret?

Bei der Migration auf eine unterstützte PHP-Version gehen wir so vor:

• Bestand und Fristen: Wir erfassen alle PHP-Versionen und tragen deren Supportende in Ihren Plan ein.
• Upgrade-Fähigkeit prüfen: Wir zeigen, welche Anwendungen und Erweiterungen eine neue Version blockieren.
• Wechsel durchführen: Test, Umstellung, Neustart und Kontrolle, Version für Version.
• Vorausschauen: Wir verfolgen RFCs und Release-Termine und melden, wenn eine Änderung Ihre Systeme betrifft.

Häufige Fragen

Quellen

• php.net: Unterstützte Versionen
• PHP RFC: Release cycle update
• PHP-RFCs (Übersicht)
• PHP RFC: Secure Session Configuration Defaults