Przyszłość PHP

Krótko: Przyszłość PHP jest w istotnych częściach ustalona i publicznie dostępna do przeczytania. Każda wersja otrzymuje cztery lata wsparcia, z czego dwa tylko z poprawkami bezpieczeństwa, zawsze do 31 grudnia. PHP 8.6 przewidziano według planu na 19.11.2026 i przynosi między innymi bezpieczniejsze domyślne ustawienia sesji. Dla PHP 9.0 istnieją przyjęte propozycje zmian, ale nie ma zapowiedzianego terminu. Dla firm oznacza to: przewidywalne aktualizacje zamiast niespodzianek, o ile stosują wspierane wersje.

Jak rozstrzyga się o przyszłości PHP?

Nowe funkcje i reguły powstają w PHP przez RFC (Request for Comments). Propozycja jest publikowana w wiki PHP, dyskutowana na liście mailingowej, a potem głosowana. Dla nowych domyślnych ustawień sesji potrzebna była według RFC większość dwóch trzecich. Dopiero przyjęte i wdrożone RFC jest udokumentowanym planem; propozycje w dyskusji to pomysły, nie zobowiązania.

Dla osób podejmujących decyzje to zaleta: kto chce wiedzieć, co nadchodzi, może przeczytać listę w wiki, zamiast polegać na plotkach. Na tej stronie podajemy dlatego tylko przyjęte lub wdrożone RFC i oficjalne terminy.

Stałe okresy wsparcia: cztery lata na wersję

W 2024 roku projekt PHP dostosował cykl wydawniczy przez RFC. Od tego czasu obowiązuje: dwa lata aktywnego wsparcia z poprawkami błędów i bezpieczeństwa, potem dwa lata tylko dla krytycznych problemów bezpieczeństwa. Terminy kończą się jednolicie 31 grudnia. Release Candidates nie mogą już zawierać nowych funkcji.

Wartości dla 8.2 do 8.5 pochodzą z php.net, a te dla 8.6 wyprowadziliśmy z obowiązującej reguły; są wiążące dopiero wtedy, gdy php.net je opublikuje. Co to oznacza dla starszych wersji, opisują artykuły Wersje PHP i cykl wydawniczy oraz PHP End-of-Life: ryzyka przestarzałych wersji.

PHP 8.6: co jest postanowione

Według harmonogramu w wiki PHP publikację PHP 8.6.0 przewidziano na 19.11.2026. W dniu 21.10.2026 ukazał się czwarty Release Candidate, który według php.net zawiera już poprawki obu luk PHP2Shell; wcześniejsze wersje testowe 8.6 mają zostać zastąpione. Następny Release Candidate zapowiedziano na 05.11.2026. Wersje testowe nie należą do produkcji.

Wybór RFC, które wiki prowadzi jako wdrożone dla PHP 8.6:

1. Bezpieczne domyślne ustawienia sesji: session.use_strict_mode i session.cookie_httponly zostają domyślnie włączone, a session.cookie_samesite ustawione na Lax.
2. Argumenty funkcji w komunikatach o błędach: dodatkowe informacje pomocne przy szukaniu błędów.
3. Ograniczenie łańcuchów filtrów: górna granica liczby połączonych filtrów.
4. Nowe środki językowe: między innymi clamp(), częściowe zastosowanie funkcji i wartości domyślne dla właściwości readonly.
5. Zapowiedź wycofania: wartości zwracane z __construct() i __destruct() zostaną oznaczone jako przestarzałe.

To, co przyszło już z PHP 8.0 do 8.5, podsumowuje artykuł PHP 8.0 do 8.5: najważniejsze nowości.

PHP 9.0: przyjęte propozycje, brak terminu

Kilka RFC wyraźnie przewiduje zmiany dla PHP 9.0 i jest przyjętych, ale jeszcze niewdrożonych. Należą do nich: błąd zamiast ostrzeżenia przy niezdefiniowanych zmiennych i właściwościach, usunięcie zapisu ${} w ciągach znaków, usunięcie identyfikatorów sesji przez GET i POST oraz koniec domyślnie dopuszczających null typów parametrów. Termin wydania PHP 9.0 nie został zapowiedziany na php.net.

Dla planowania oznacza to: kod, który dziś generuje ostrzeżenia o przestarzałych funkcjach, należy oczyścić już teraz. Wtedy późniejszy skok nie będzie wielkim projektem.

W wiki jest ponadto wiele propozycji w dyskusji, na przykład wspólna binarka dla wiersza poleceń i FPM albo współbieżność w silniku. Czy wejdą w życie, nie wiadomo.

Kto niesie PHP

PHP jest utrzymywane przez wolontariuszy i płatnych programistów. Dla każdej wersji istnieje zespół release managerów; dla PHP 8.6 wiki wymienia Daniela Scherzera, Matteo Beccatiego i Joe Fergusona. PHP Foundation opisuje jako swoje zadanie zapewnienie długoterminowego rozwoju języka i zatrudnia według własnego opisu zespół programistów na część i na pełny etat do utrzymania, bezpieczeństwa i nowych funkcji.

Modernizowana jest też infrastruktura: od PHP 8.5 OPcache jest na stałe wbudowany, a przez RFC postanowiono zalecać PIE dla rozszerzeń i oznaczyć PECL jako przestarzały.

Co przyszłość PHP oznacza dla Państwa bezpieczeństwa

PHP2Shell pokazało, jak ważne są okresy wsparcia. Dla 8.2 do 8.5 ukazały się 21.10.2026 oficjalne poprawki; dla 8.1 i starszych były już tylko minimalne backporty ze źródeł. PHP 8.2 kończy się 31.12.2026. Kto planuje dziś, powinien zapamiętać trzy rzeczy:

• Każda używana wersja potrzebuje znanego końca wsparcia w kalendarzu.
• Przejście na następną wspieraną wersję należy zaplanować z wyprzedzeniem przed tą datą.
• Nowe standardy, takie jak bezpieczne ustawienia sesji w 8.6, są mile widziane, ale nie zastępują świadomej konfiguracji.

Jak konkretnie pomaga PHP SOS?

Przy migracji do wspieranej wersji PHP postępujemy tak:

• Stan i terminy: Rejestrujemy wszystkie wersje PHP i wpisujemy koniec ich wsparcia do Państwa planu.
• Sprawdzenie gotowości do aktualizacji: Pokazujemy, które aplikacje i rozszerzenia blokują nową wersję.
• Przeprowadzenie zmiany: Test, przełączenie, restart i kontrola, wersja po wersji.
• Patrzenie w przód: Śledzimy RFC i terminy wydań i zgłaszamy, gdy zmiana dotyczy Państwa systemów.

Częste pytania

Źródła

• php.net: wspierane wersje
• PHP RFC: Release cycle update
• RFC PHP (przegląd)
• PHP RFC: Secure Session Configuration Defaults