Budućnost PHP-a

Ukratko: Budućnost PHP-a u bitnim je dijelovima utvrđena i javno dostupna za čitanje. Svaka verzija dobiva četiri godine podrške, od toga dvije samo sa sigurnosnim ispravcima, uvijek do 31. prosinca. PHP 8.6 prema planu je predviđen za 19. 11. 2026. i donosi, među ostalim, sigurnije zadane postavke sesija. Za PHP 9.0 postoje prihvaćeni prijedlozi promjena, ali nema najavljenog termina. Za poduzeća to znači: predvidljive nadogradnje umjesto iznenađenja, sve dok koriste podržane verzije.

Kako se odlučuje o budućnosti PHP-a?

Nove funkcije i pravila u PHP-u nastaju putem RFC-ova (Request for Comments). Prijedlog se objavljuje u PHP wikiju, raspravlja na mailing listi i zatim glasuje. Za nove zadane postavke sesija, primjerice, prema RFC-u bila je potrebna dvotrećinska većina. Tek je prihvaćen i proveden RFC dokumentirano planiranje; prijedlozi u raspravi ideje su, a ne obećanja.

Za donositelje odluka to je prednost: tko želi znati što dolazi, može pročitati popis u wikiju, umjesto da se oslanja na glasine. Na ovoj stranici zato navodimo samo prihvaćene ili provedene RFC-ove i službene termine.

Čvrsta razdoblja podrške: četiri godine po verziji

PHP projekt je 2024. RFC-om prilagodio ciklus izdanja. Od tada vrijedi: dvije godine aktivne podrške s ispravcima pogrešaka i sigurnosti, zatim dvije godine samo za kritične sigurnosne probleme. Rokovi završavaju ujednačeno 31. prosinca. Release candidate verzije ne smiju više sadržavati nove funkcije.

Vrijednosti za 8.2 do 8.5 potječu s php.net, a one za 8.6 izveli smo iz važećeg pravila; obvezujuće su tek kad ih php.net objavi. Što to znači za starije verzije, opisuju PHP verzije i ciklus izdanja i PHP End-of-Life: rizici zastarjelih verzija.

PHP 8.6: što je odlučeno

Prema rasporedu u PHP wikiju objava PHP-a 8.6.0 predviđena je za 19. 11. 2026. Dana 21. 10. 2026. izašao je četvrti release candidate koji prema navodima php.net već sadrži ispravke za obje ranjivosti PHP2Shella; ranije 8.6 testne verzije trebaju se zamijeniti. Sljedeći release candidate najavljen je za 5. 11. 2026. Testne verzije ne pripadaju u produkciju.

Izbor RFC-ova koji se u wikiju vode kao provedeni za PHP 8.6:

1. Sigurne zadane postavke sesija: session.use_strict_mode i session.cookie_httponly prema zadanim se postavkama uključuju, session.cookie_samesite postavlja se na Lax.
2. Argumenti funkcija u porukama o pogreškama: dodatni podaci koji pomažu pri traženju pogrešaka.
3. Ograničenje lanaca filtara: gornja granica broja povezanih filtara.
4. Nova jezična sredstva: među ostalim clamp(), djelomična primjena funkcija i zadane vrijednosti za readonly svojstva.
5. Najava ukidanja: povratne vrijednosti iz __construct() i __destruct() označavaju se zastarjelima.

Što je stiglo već s PHP-om 8.0 do 8.5, sažima PHP 8.0 do 8.5: najvažnije novosti.

PHP 9.0: prihvaćeni prijedlozi, bez termina

Nekoliko RFC-ova izričito predviđa promjene za PHP 9.0 i prihvaćeno je, ali još nije provedeno. Među njima su: pogreška umjesto upozorenja kod nedefiniranih varijabli i svojstava, uklanjanje zapisa ${} u nizovima znakova, uklanjanje ID-ova sesija putem GET-a i POST-a te kraj implicitno nullable tipova parametara. Termin izlaska PHP-a 9.0 na php.net nije najavljen.

Za planiranje to znači: kod koji danas stvara upozorenja o zastarjelim funkcijama treba sada očistiti. Tada kasniji skok neće biti veliki projekt.

U wikiju uz to stoje mnogi prijedlozi u raspravi, primjerice zajednička binarna datoteka za naredbeni redak i FPM ili istodobnost u samom motoru. Hoće li doći, otvoreno je.

Tko nosi PHP

PHP održavaju dobrovoljci i plaćeni programeri. Za svaku verziju postoji tim release managera; za PHP 8.6 wiki navodi Daniela Scherzera, Matteu Beccatija i Joea Fergusona. PHP Foundation kao svoju zadaću opisuje osiguravanje dugoročnog napretka jezika i prema vlastitom prikazu angažira tim programera s pola i punog radnog vremena za održavanje, sigurnost i nove funkcije.

Modernizira se i infrastruktura: od PHP-a 8.5 OPcache je čvrsto ugrađen, a RFC-om je odlučeno da se za ekstenzije preporučuje PIE, a PECL označi zastarjelim.

Što budućnost PHP-a znači za Vašu sigurnost

PHP2Shell je pokazao koliko su razdoblja podrške važna. Za 8.2 do 8.5 službeni ispravci stigli su 21. 10. 2026.; za 8.1 i starije postojali su samo minimalni backportovi izvornog koda. PHP 8.2 završava 31. 12. 2026. Tko danas planira, trebao bi zabilježiti tri stvari:

• Svaka korištena verzija treba imati poznat kraj podrške u kalendaru.
• Prelazak na sljedeću podržanu verziju pripada na vrijeme prije tog datuma.
• Novi standardi poput sigurnih postavki sesija u 8.6 dobrodošli su, ali ne zamjenjuju svjesnu konfiguraciju.

Kako PHP SOS konkretno pomaže?

Pri migraciji na podržanu verziju PHP-a postupamo ovako:

• Stanje i rokovi: Bilježimo sve verzije PHP-a i upisujemo njihov kraj podrške u Vaš plan.
• Provjeriti sposobnost nadogradnje: Pokazujemo koje aplikacije i ekstenzije blokiraju novu verziju.
• Provesti prijelaz: Test, prelazak, ponovno pokretanje i kontrola, verzija po verziju.
• Gledati unaprijed: Pratimo RFC-ove i termine izdanja te javljamo kad neka promjena pogađa Vaše sustave.

Česta pitanja

Izvori

• php.net: Podržane verzije
• PHP RFC: Release cycle update
• PHP RFC-ovi (pregled)
• PHP RFC: Secure Session Configuration Defaults