O futuro do PHP

Em resumo: O futuro do PHP está, em partes essenciais, definido e pode ser consultado publicamente. Cada versão recebe quatro anos de suporte, dois deles apenas com correções de segurança, sempre até 31 de dezembro. O PHP 8.6 está previsto, segundo o planeamento, para 19/11/2026 e traz, entre outras coisas, predefinições de sessão mais seguras. Para o PHP 9.0 existem propostas de alteração aprovadas, mas nenhuma data anunciada. Para as empresas, isto significa: atualizações previsíveis em vez de surpresas, desde que usem versões suportadas.

Como se decide o futuro do PHP?

As novas funcionalidades e regras surgem no PHP através de RFC (Request for Comments). Uma proposta é publicada na wiki do PHP, discutida na lista de correio e depois votada. Para as novas predefinições de sessão, por exemplo, foi necessária, segundo o RFC, uma maioria de dois terços. Só um RFC aprovado e implementado é um planeamento comprovado; as propostas em discussão são ideias, não compromissos.

Para quem decide, isto é uma vantagem: quem quiser saber o que vem aí pode ler a lista na wiki, em vez de se fiar em boatos. Nesta página indicamos por isso apenas RFC aprovados ou implementados e datas oficiais.

Prazos de suporte fixos: quatro anos por versão

Em 2024, o projeto PHP ajustou o ciclo de lançamentos por RFC. Desde então aplica-se: dois anos de suporte ativo com correções de erros e de segurança, depois dois anos apenas para problemas de segurança críticos. Os prazos terminam de forma uniforme a 31 de dezembro. Os release candidates deixam de poder conter novas funcionalidades.

Os valores do 8.2 ao 8.5 provêm do php.net, os do 8.6 deduzimo-los da regra em vigor; só são vinculativos quando o php.net os publicar. O que isto significa para as versões mais antigas descrevem-no Versões do PHP e ciclo de lançamentos e Fim de vida do PHP: riscos das versões desatualizadas.

PHP 8.6: o que está decidido

Segundo o calendário na wiki do PHP, a publicação do PHP 8.6.0 está prevista para 19/11/2026. A 21/10/2026 saiu o quarto release candidate, que, segundo o php.net, já contém as correções para as duas vulnerabilidades do PHP2Shell; as versões de teste anteriores do 8.6 devem ser substituídas. O release candidate seguinte está anunciado para 05/11/2026. As versões de teste não pertencem à produção.

Uma seleção dos RFC que a wiki indica como implementados para o PHP 8.6:

1. Predefinições de sessão seguras: session.use_strict_mode e session.cookie_httponly são ativados por predefinição e session.cookie_samesite passa a Lax.
2. Argumentos de funções nas mensagens de erro: informações adicionais que ajudam na deteção de falhas.
3. Limitação de cadeias de filtros: um limite máximo para o número de filtros encadeados.
4. Novos recursos da linguagem: entre outros, clamp(), aplicação parcial de funções e valores predefinidos para propriedades readonly.
5. Descontinuação: os valores de retorno de __construct() e __destruct() passam a ser marcados como obsoletos.

O que já veio com o PHP 8.0 a 8.5 resume-o PHP 8.0 a 8.5: as novidades mais importantes.

PHP 9.0: propostas aprovadas, sem data

Vários RFC preveem expressamente alterações para o PHP 9.0 e estão aprovados, mas ainda não implementados. Entre eles: erro em vez de aviso para variáveis e propriedades indefinidas, a remoção da notação ${} em cadeias de caracteres, a remoção de IDs de sessão via GET e POST e o fim dos tipos de parâmetro implicitamente anuláveis. Uma data de lançamento para o PHP 9.0 não está anunciada no php.net.

Para o planeamento, isto significa: o código que hoje gera avisos sobre funções obsoletas deve ser limpo desde já. Assim, o salto posterior não será um grande projeto.

Na wiki há ainda muitas propostas em discussão, por exemplo um binário comum para a linha de comandos e o FPM ou a concorrência no motor. Se virão, está em aberto.

Quem sustenta o PHP

O PHP é mantido por voluntários e por programadores remunerados. Para cada versão existe uma equipa de release managers; para o PHP 8.6, a wiki indica Daniel Scherzer, Matteo Beccati e Joe Ferguson. A PHP Foundation descreve como sua missão assegurar a prosperidade da linguagem a longo prazo e, segundo a sua própria descrição, contrata uma equipa de programadores a tempo parcial e a tempo inteiro para a manutenção, a segurança e novas funcionalidades.

Também a infraestrutura é modernizada: desde o PHP 8.5, o OPcache está integrado de forma fixa e, por RFC, decidiu-se recomendar o PIE para extensões e marcar o PECL como obsoleto.

O que o futuro do PHP significa para a sua segurança

O PHP2Shell mostrou como são importantes os prazos de suporte. Para o 8.2 ao 8.5 saíram a 21/10/2026 correções oficiais; para o 8.1 e anteriores houve apenas backports mínimos de código-fonte. O PHP 8.2 termina a 31/12/2026. Quem planeia hoje deve fixar três coisas:

• Cada versão em uso precisa de um fim de suporte conhecido no calendário.
• A mudança para a versão suportada seguinte deve ocorrer a tempo, antes dessa data.
• Novas predefinições como as definições de sessão seguras no 8.6 são bem-vindas, mas não substituem uma configuração deliberada.

Como ajuda concretamente o PHP SOS?

Na migração para uma versão do PHP suportada, procedemos assim:

• Parque instalado e prazos: registamos todas as versões do PHP e inscrevemos o respetivo fim de suporte no seu plano.
• Verificar a capacidade de atualização: mostramos que aplicações e extensões bloqueiam uma versão nova.
• Realizar a mudança: teste, migração, reinício e verificação, versão a versão.
• Antecipar: acompanhamos RFC e datas de lançamento e avisamos quando uma alteração afeta os seus sistemas.

Perguntas frequentes

Fontes

• php.net: versões suportadas
• PHP RFC: Release cycle update
• RFC do PHP (visão geral)
• PHP RFC: Secure Session Configuration Defaults