En bref : l'avenir de PHP est pour l'essentiel fixé et consultable publiquement. Chaque version reçoit quatre ans de support, dont deux avec uniquement des correctifs de sécurité, chaque fois jusqu'au 31 décembre. PHP 8.6 est prévu, selon la planification, pour le 19 novembre 2026 et apporte entre autres des valeurs par défaut de session plus sûres. Pour PHP 9.0, il existe des propositions de modification adoptées, mais aucune date annoncée. Pour les entreprises, cela signifie : des mises à niveau planifiables plutôt que des surprises, tant qu'elles utilisent des versions prises en charge.
Comment l'avenir de PHP est-il décidé ?
Les nouvelles fonctionnalités et règles naissent dans PHP par des RFC (Request for Comments). Une proposition est publiée dans le wiki PHP, discutée sur la liste de diffusion, puis soumise au vote. Pour les nouvelles valeurs par défaut de session, par exemple, une majorité des deux tiers était nécessaire selon la RFC. Seule une RFC adoptée et mise en œuvre constitue une planification avérée ; les propositions en discussion sont des idées, non des engagements.
C'est un avantage pour les décideurs : qui veut savoir ce qui arrive peut lire la liste dans le wiki, au lieu de se fier aux rumeurs. Sur cette page, nous ne citons donc que des RFC adoptées ou mises en œuvre et des dates officielles.
Durées de support fixes : quatre ans par version
En 2024, le projet PHP a adapté le cycle de publication par une RFC. Depuis, la règle est : deux ans de support actif avec corrections de bogues et de sécurité, puis deux ans uniquement pour les problèmes de sécurité critiques. Les échéances se terminent uniformément le 31 décembre. Les release candidates ne doivent plus contenir de nouvelles fonctionnalités.
| Version | Parue | Support actif jusqu'au | Correctifs de sécurité jusqu'au |
|---|---|---|---|
| 8.2 | 08/12/2022 | 31/12/2024 | 31/12/2026 |
| 8.3 | 23/11/2023 | 31/12/2025 | 31/12/2027 |
| 8.4 | 21/11/2024 | 31/12/2026 | 31/12/2028 |
| 8.5 | 20/11/2025 | 31/12/2027 | 31/12/2029 |
| 8.6 | prévue le 19/11/2026 | selon la règle, vraisemblablement 31/12/2028 | selon la règle, vraisemblablement 31/12/2030 |
Les valeurs pour 8.2 à 8.5 proviennent de php.net, celles pour 8.6 ont été déduites par nous de la règle en vigueur ; elles ne sont contraignantes que lorsque php.net les publie. Ce que cela signifie pour les versions plus anciennes est décrit dans Versions de PHP et cycle de publication et Fin de vie de PHP : les risques des versions obsolètes.
PHP 8.6 : ce qui est décidé
Selon le calendrier du wiki PHP, la publication de PHP 8.6.0 est prévue pour le 19 novembre 2026. La quatrième release candidate est parue le 21 octobre 2026 ; selon php.net, elle contient déjà les correctifs des deux failles PHP2Shell ; les versions de test 8.6 antérieures doivent être remplacées. La prochaine release candidate est annoncée pour le 5 novembre 2026. Les versions de test n'ont pas leur place en production.
Une sélection des RFC que le wiki donne comme mises en œuvre pour PHP 8.6 :
- Valeurs par défaut de session sûres :
session.use_strict_modeetsession.cookie_httponlysont activés par défaut,session.cookie_samesiteest défini surLax. - Arguments de fonctions dans les messages d'erreur : informations supplémentaires qui aident au débogage.
- Limitation des chaînes de filtres : une limite supérieure pour le nombre de filtres chaînés.
- Nouvelles fonctionnalités du langage : entre autres
clamp(), l'application partielle de fonctions et des valeurs par défaut pour les propriétés readonly. - Dépréciation : les valeurs de retour de
__construct()et__destruct()sont marquées comme obsolètes.
Ce qui est déjà arrivé avec PHP 8.0 à 8.5 est résumé dans PHP 8.0 à 8.5 : les principales nouveautés.
PHP 9.0 : propositions adoptées, pas de date
Plusieurs RFC prévoient expressément des changements pour PHP 9.0 et sont adoptées, mais pas encore mises en œuvre. Parmi elles : une erreur au lieu d'un avertissement pour les variables et propriétés non définies, la suppression de la notation ${} dans les chaînes, la suppression des identifiants de session via GET et POST et la fin des types de paramètres implicitement nullables. Aucune date de parution pour PHP 9.0 n'est annoncée sur php.net.
Pour la planification, cela signifie : le code qui génère aujourd'hui des avertissements sur des fonctions obsolètes devrait être nettoyé dès maintenant. Le saut ultérieur ne deviendra alors pas un grand projet.
Le wiki contient en outre de nombreuses propositions en discussion, par exemple un binaire commun pour la ligne de commande et FPM ou la concurrence dans le moteur. Leur aboutissement reste ouvert.
Qui porte PHP
PHP est entretenu par des bénévoles et des développeurs rémunérés. Pour chaque version, il existe une équipe de release managers ; pour PHP 8.6, le wiki cite Daniel Scherzer, Matteo Beccati et Joe Ferguson. La PHP Foundation décrit sa mission comme celle d'assurer la prospérité à long terme du langage et, selon sa propre présentation, mandate une équipe de développeurs à temps partiel et à temps plein pour la maintenance, la sécurité et les nouvelles fonctionnalités.
L'infrastructure se modernise aussi : depuis PHP 8.5, OPcache est intégré en dur, et il a été décidé par RFC de recommander PIE pour les extensions et de déclarer PECL obsolète.
Ce que l'avenir de PHP signifie pour votre sécurité
PHP2Shell a montré l'importance des durées de support. Pour 8.2 à 8.5, des correctifs officiels sont parus le 21 octobre 2026 ; pour 8.1 et antérieur, il n'y a eu que des rétroportages minimaux du code source. PHP 8.2 prend fin le 31 décembre 2026. Qui planifie aujourd'hui devrait retenir trois points :
- Chaque version utilisée a besoin d'une fin de support connue au calendrier.
- Le passage à la prochaine version prise en charge doit intervenir bien avant cette date.
- De nouvelles valeurs par défaut comme les réglages de session sûrs de 8.6 sont bienvenues, mais ne remplacent pas une configuration délibérée.
Comment PHP SOS aide-t-il concrètement ?
Lors de la migration vers une version de PHP prise en charge, nous procédons ainsi :
- Existant et échéances : nous recensons toutes les versions de PHP et inscrivons leur fin de support dans votre plan.
- Vérifier la capacité de mise à niveau : nous montrons quelles applications et extensions bloquent une nouvelle version.
- Effectuer le changement : test, bascule, redémarrage et contrôle, version après version.
- Anticiper : nous suivons les RFC et les dates de publication et signalons lorsqu'un changement concerne vos systèmes.
Questions fréquentes
Combien de temps une version de PHP est-elle prise en charge ?
Depuis une RFC adoptée en 2024, quatre ans : deux ans de support actif avec corrections de bogues, puis deux ans de correctifs de sécurité uniquement. Les échéances se terminent chaque fois le 31 décembre.
Quand PHP 8.6 paraîtra-t-il ?
Selon la planification du wiki PHP, la publication est prévue pour le 19 novembre 2026. La release candidate 4 est parue le 21 octobre 2026, la suivante est annoncée pour le 5 novembre 2026. Selon le wiki, les dates peuvent glisser.
Quand PHP 9.0 arrivera-t-il ?
Aucune date n'est annoncée sur php.net. Il existe des RFC adoptées qui prévoient des changements pour PHP 9.0, par exemple des erreurs plus strictes pour les variables non définies. Le moment de parution de cette version reste ouvert.
PHP est-il un investissement sûr pour les prochaines années ?
Ce qui est avéré : il existe un plan de publication fixe, une procédure de RFC active et une fondation qui rémunère des développeurs pour la maintenance et la sécurité. Aucune technologie ne donne de garantie pour l'avenir ; l'essentiel est d'utiliser des versions prises en charge.