PHP:n tulevaisuus

Lyhyesti: PHP:n tulevaisuus on olennaisilta osin sovittu ja julkisesti luettavissa. Jokainen versio saa neljä vuotta tukea, joista kaksi pelkillä tietoturvakorjauksilla, aina 31. joulukuuhun asti. PHP 8.6 on suunnitelman mukaan tarkoitus julkaista 19.11.2026, ja se tuo muun muassa turvallisemmat istuntojen oletusarvot. PHP 9.0:lle on hyväksyttyjä muutosehdotuksia mutta ei ilmoitettua aikataulua. Yrityksille se tarkoittaa: ennakoitavia päivityksiä yllätysten sijaan, kunhan käytössä on tuettuja versioita.

Miten PHP:n tulevaisuudesta päätetään?

Uudet ominaisuudet ja säännöt syntyvät PHP:ssä RFC:ien (Request for Comments) kautta. Ehdotus julkaistaan PHP-wikissä, siitä keskustellaan postituslistalla ja sitten äänestetään. Uusien istuntojen oletusarvojen kohdalla tarvittiin RFC:n mukaan kahden kolmasosan enemmistö. Vasta hyväksytty ja toteutettu RFC on todettu suunnitelma; keskusteltavina olevat ehdotukset ovat ideoita, eivät lupauksia.

Päättäjälle tämä on etu: se, joka haluaa tietää, mitä on tulossa, voi lukea wikin luettelon sen sijaan, että luottaisi huhuihin. Tällä sivulla mainitsemme siksi vain hyväksytyt tai toteutetut RFC:t ja viralliset ajankohdat.

Kiinteät tukiajat: neljä vuotta versiota kohti

Vuonna 2024 PHP-hanke mukautti julkaisusyklin RFC:llä. Siitä lähtien pätee: kaksi vuotta aktiivista tukea virhe- ja tietoturvakorjauksilla, sen jälkeen kaksi vuotta pelkästään kriittisille tietoturvaongelmille. Määräajat päättyvät yhtenäisesti 31. joulukuuta. Julkaisuehdokkaat eivät saa enää sisältää uusia ominaisuuksia.

Versioiden 8.2–8.5 arvot ovat php.netistä, version 8.6 arvot olemme johtaneet voimassa olevasta säännöstä; ne ovat sitovia vasta, kun php.net julkaisee ne. Mitä tämä tarkoittaa vanhemmille versioille, kuvaavat PHP-versiot ja julkaisusykli ja PHP:n elinkaaren loppu: vanhentuneiden versioiden riskit.

PHP 8.6: mikä on päätetty

PHP-wikin aikataulun mukaan PHP 8.6.0:n julkaisu on tarkoitus 19.11.2026. Neljäs julkaisuehdokas ilmestyi 21.10.2026, ja php.netin mukaan se sisältää jo korjaukset molempiin PHP2Shell-aukkoihin; aiempien 8.6-testiversioiden on määrä korvautua. Seuraava julkaisuehdokas on ilmoitettu 5.11.2026. Testiversiot eivät kuulu tuotantoon.

Valikoima RFC:itä, jotka wikissä on merkitty toteutetuiksi PHP 8.6:lle:

1. Turvalliset istuntojen oletusarvot: session.use_strict_mode ja session.cookie_httponly kytketään oletuksena päälle, session.cookie_samesite asetetaan arvoon Lax.
2. Funktioargumentit virheilmoituksissa: lisätietoja, jotka auttavat vianetsinnässä.
3. Suodatinketjujen rajoitus: yläraja ketjutettujen suodattimien määrälle.
4. Uudet kielen ominaisuudet: muun muassa clamp(), osittainen funktiosovellus ja oletusarvot readonly-ominaisuuksille.
5. Vanhentuminen: paluuarvot funktioista __construct() ja __destruct() merkitään vanhentuneiksi.

Mitä tuli jo versioissa PHP 8.0–8.5, tiivistää PHP 8.0–8.5: tärkeimmät uudistukset.

PHP 9.0: hyväksyttyjä ehdotuksia, ei aikataulua

Useat RFC:t ennakoivat nimenomaisesti muutoksia PHP 9.0:lle ja on hyväksytty mutta ei vielä toteutettu. Niihin kuuluvat: varoituksen sijaan virhe määrittelemättömistä muuttujista ja ominaisuuksista, kirjoitusasun ${} poistaminen merkkijonoista, istuntotunnisteiden poistaminen GET- ja POST-pyynnöistä sekä implisiittisesti null-arvon sallivien parametrityyppien päättyminen. PHP 9.0:n julkaisuajankohtaa ei ole ilmoitettu php.netissä.

Suunnittelun kannalta se tarkoittaa: koodi, joka tuottaa nykyisin varoituksia vanhentuneista funktioista, kannattaa siivota nyt. Silloin myöhempi harppaus ei muodostu suurhankkeeksi.

Wikissä on lisäksi paljon keskusteltavina olevia ehdotuksia, esimerkiksi yhteinen binääri komentoriville ja FPM:lle tai rinnakkaisuus moottorissa. Toteutuvatko ne, on avoinna.

Kuka PHP:tä kantaa

PHP:tä ylläpitävät vapaaehtoiset ja palkatut kehittäjät. Jokaisella versiolla on julkaisuvastaavien tiimi; PHP 8.6:lle wiki mainitsee Daniel Scherzerin, Matteo Beccatin ja Joe Fergusonin. PHP Foundation kuvaa tehtäväkseen turvata kielen pitkän aikavälin menestys, ja se palkkaa oman kuvauksensa mukaan osa- ja kokoaikaisten kehittäjien tiimin ylläpitoon, tietoturvaan ja uusiin ominaisuuksiin.

Myös infrastruktuuria uudistetaan: versiosta PHP 8.5 lähtien OPcache on rakennettu kiinteästi mukaan, ja RFC:llä on päätetty suositella laajennuksille PIE:tä ja merkitä PECL vanhentuneeksi.

Mitä PHP:n tulevaisuus merkitsee tietoturvallenne

PHP2Shell on osoittanut tukiaikojen merkityksen. Versioille 8.2–8.5 tulivat viralliset korjaukset 21.10.2026; versioille 8.1 ja vanhemmille oli enää vain minimaalisia lähdekoodin takaisinporttauksia. PHP 8.2 päättyy 31.12.2026. Se, joka suunnittelee nyt, kannattaa pitää kolme asiaa mielessä:

• Jokaisella käytössä olevalla versiolla on oltava tiedossa oleva tuen loppu kalenterissa.
• Siirtymä seuraavaan tuettuun versioon kuuluu tehdä ajoissa ennen tätä päivämäärää.
• Uudet standardit, kuten versiossa 8.6 tulevat turvalliset istunta-asetukset, ovat tervetulleita mutta eivät korvaa tietoista konfigurointia.

Miten PHP SOS auttaa konkreettisesti?

Siirtymässä tuettuun PHP-versioon toimimme näin:

• Kanta ja määräajat: Kartoitamme kaikki PHP-versiot ja kirjaamme niiden tuen lopun suunnitelmaanne.
• Päivityskyvyn tarkistus: Näytämme, mitkä sovellukset ja laajennukset estävät uuden version.
• Vaihdon toteutus: Testaus, siirtymä, uudelleenkäynnistys ja tarkistus, versio kerrallaan.
• Ennakointi: Seuraamme RFC:itä ja julkaisuaikatauluja ja ilmoitamme, jos muutos koskee järjestelmiänne.

Usein kysytyt kysymykset

Lähteet

• php.net: tuetut versiot
• PHP RFC: Release cycle update
• PHP-RFC:t (yleiskatsaus)
• PHP RFC: Secure Session Configuration Defaults