Il futuro di PHP

In breve: il futuro di PHP è in larga parte stabilito e consultabile pubblicamente. Ogni versione riceve quattro anni di supporto, due dei quali con sole correzioni di sicurezza, ogni volta fino al 31 dicembre. PHP 8.6 è previsto secondo la pianificazione per il 19/11/2026 e porta, tra l'altro, standard di sessione più sicuri. Per PHP 9.0 esistono proposte di modifica approvate, ma nessuna data annunciata. Per le aziende significa: aggiornamenti pianificabili invece di sorprese, finché usano versioni supportate.

Come si decide sul futuro di PHP?

Nuove funzioni e regole nascono in PHP tramite le RFC (Request for Comments). Una proposta viene pubblicata nel wiki di PHP, discussa sulla mailing list e poi messa ai voti. Per i nuovi standard di sessione, ad esempio, secondo l'RFC era necessaria una maggioranza dei due terzi. Solo una RFC approvata e implementata è una pianificazione documentata; le proposte in discussione sono idee, non impegni.

Per chi decide è un vantaggio: chi vuole sapere che cosa arriverà può leggere l'elenco nel wiki, invece di affidarsi alle voci. In questa pagina citiamo perciò soltanto RFC approvate o implementate e date ufficiali.

Periodi di supporto fissi: quattro anni per versione

Nel 2024 il progetto PHP ha adeguato il ciclo di rilascio tramite RFC. Da allora vale: due anni di supporto attivo con correzioni di errori e di sicurezza, poi due anni solo per problemi di sicurezza critici. I termini scadono in modo uniforme il 31 dicembre. Le release candidate non possono più contenere nuove funzioni.

I valori per 8.2–8.5 provengono da php.net, quelli per 8.6 li abbiamo derivati dalla regola vigente; diventano vincolanti solo quando php.net li pubblica. Che cosa significhi per le versioni più vecchie lo descrivono Versioni di PHP e ciclo di rilascio e Fine del ciclo di vita di PHP: rischi delle versioni obsolete.

PHP 8.6: che cosa è deciso

Secondo il calendario nel wiki di PHP, la pubblicazione di PHP 8.6.0 è prevista per il 19/11/2026. Il 21/10/2026 è uscita la quarta release candidate, che secondo php.net contiene già le correzioni per le due vulnerabilità PHP2Shell; le precedenti versioni di prova 8.6 devono essere sostituite. La prossima release candidate è annunciata per il 05/11/2026. Le versioni di prova non appartengono alla produzione.

Una selezione delle RFC che nel wiki risultano implementate per PHP 8.6:

1. Standard di sessione sicuri: session.use_strict_mode e session.cookie_httponly vengono attivati per impostazione predefinita, session.cookie_samesite impostato su Lax.
2. Argomenti delle funzioni nei messaggi di errore: indicazioni aggiuntive che aiutano nella ricerca degli errori.
3. Limitazione delle catene di filtri: un limite massimo per il numero di filtri concatenati.
4. Nuovi strumenti del linguaggio: tra l'altro clamp(), applicazione parziale di funzioni e valori predefiniti per le proprietà readonly.
5. Deprecazione: i valori di ritorno da __construct() e __destruct() vengono contrassegnati come deprecati.

Ciò che è arrivato già con PHP da 8.0 a 8.5 lo riassume PHP da 8.0 a 8.5: le principali novità.

PHP 9.0: proposte approvate, nessuna data

Diverse RFC prevedono espressamente modifiche per PHP 9.0 e sono approvate, ma non ancora implementate. Ne fanno parte: errore invece di avviso per variabili e proprietà non definite, la rimozione della notazione ${} nelle stringhe, la rimozione degli ID di sessione tramite GET e POST e la fine dei tipi di parametro implicitamente nullable. Una data di uscita per PHP 9.0 non è annunciata su php.net.

Per la pianificazione significa: il codice che oggi genera avvisi su funzioni obsolete dovrebbe essere ripulito ora. Allora il salto successivo non diventerà un grande progetto.

Nel wiki ci sono inoltre molte proposte in discussione, ad esempio un binario comune per riga di comando e FPM o la concorrenza nel motore. Se arriveranno è aperto.

Chi sostiene PHP

PHP è mantenuto da volontari e da sviluppatori retribuiti. Per ogni versione c'è un team di release manager; per PHP 8.6 il wiki cita Daniel Scherzer, Matteo Beccati e Joe Ferguson. La PHP Foundation descrive come proprio compito garantire la prosperità a lungo termine del linguaggio e, secondo la propria descrizione, incarica un team di sviluppatori a tempo parziale e a tempo pieno per manutenzione, sicurezza e nuove funzioni.

Anche l'infrastruttura viene modernizzata: da PHP 8.5 OPcache è integrata stabilmente, e tramite RFC è stato deciso di raccomandare PIE per le estensioni e di contrassegnare PECL come obsoleto.

Che cosa significa il futuro di PHP per la Sua sicurezza

PHP2Shell ha mostrato quanto siano importanti i periodi di supporto. Per 8.2–8.5 il 21/10/2026 sono arrivate correzioni ufficiali; per 8.1 e precedenti esistevano solo backport minimi del codice sorgente. PHP 8.2 termina il 31/12/2026. Chi pianifica oggi dovrebbe fissare tre cose:

• Ogni versione in uso ha bisogno di una fine del supporto nota nel calendario.
• Il passaggio alla successiva versione supportata va fatto in tempo prima di quella data.
• Nuovi standard come le impostazioni di sessione sicure in 8.6 sono benvenuti, ma non sostituiscono una configurazione consapevole.

Come aiuta concretamente PHP SOS?

Nella migrazione a una versione di PHP supportata procediamo così:

• Esistente e scadenze: rileviamo tutte le versioni di PHP e inseriamo la loro fine del supporto nel Suo piano.
• Verificare la capacità di upgrade: mostriamo quali applicazioni ed estensioni impediscono una nuova versione.
• Eseguire il passaggio: test, migrazione, riavvio e controllo, versione per versione.
• Guardare avanti: seguiamo le RFC e le date di rilascio e segnaliamo quando una modifica riguarda i Suoi sistemi.

Domande frequenti

Fonti

• php.net: versioni supportate
• PHP RFC: Release cycle update
• RFC di PHP (panoramica)
• PHP RFC: Secure Session Configuration Defaults