Guia atualizado de suporte, segurança e mudanças da linguagem
Duas vulnerabilidades graves de Remote Code Execution (RCE) foram divulgadas, afetando todas as versões do PHP 5 em diante. A falha, apelidada de "PHP2Shell", reside no gerenciamento de memória e no tratamento de erros do motor PHP. Um atacante não autenticado pode explorar essas brechas para executar código arbitrário no servidor, especialmente em ambientes Apache com mod_php ou PHP-FPM [citation:3][citation:6].
Ação imediata necessária: Atualize para as versões corrigidas listadas abaixo. Versões fora do suporte oficial (EOL) não receberão correções e estão permanentemente vulneráveis.
Nota: A falha foi descoberta com auxílio de IA e corrigida em caráter de emergência. O PHP Foundation confirmou que a causa raiz estava presente há mais de uma década [citation:6][citation:7].
Status: Fim de vida (EOL) desde 31/12/2018. Não recebe mais atualizações de segurança.
Mudanças marcantes: Introdução de expressões de função constante, desempacotamento de argumentos com ..., e o poder de exponenciação **.
Riscos: Além de dezenas de CVEs não corrigidas, o PHP 5.6 é suscetível à falha PHP2Shell de 2026. Seu uso é extremamente desencorajado.
Status: Fim de vida (EOL) desde 28/11/2022.
Mudanças marcantes: Tipagem de propriedades (typed properties), funções arrow (fn), operador de coalescência nula de atribuição (??=), e desempacotamento em arrays.
Riscos: Recebeu um número significativo de CVEs críticas ao longo de sua vida (ex: 9 críticas, 10 altas) . Não é seguro para produção.
Status: Fim do suporte de segurança em 31/12/2025.
Mudanças marcantes: Introdução de Enums, propriedades readonly, interseção de tipos (intersection types), e o atributo #[\ReturnTypeWillChange].
Riscos: Apesar de moderno, já está obsoleto. A falha PHP2Shell de 2026 não será corrigida oficialmente para esta versão.
Status: Apenas correções críticas de segurança até 31/12/2026.
Mudanças marcantes: Tipos "true", "false" e "null" como tipos independentes; classes readonly; e depreciação de propriedades dinâmicas.
Alerta: Atualize para 8.2.35 imediatamente para mitigar a falha PHP2Shell.
Status: Suporte ativo e de segurança até 31/12/2027.
Mudanças marcantes: Tipagem estática para constantes de classe, o atributo #[\Override], e novas funções json_validate() e mb_str_pad().
Alerta: Atualize para 8.3.36 para corrigir a falha PHP2Shell. É uma das versões recomendadas para novos projetos.
Status: Suporte ativo e de segurança até 31/12/2028.
Mudanças marcantes: Property Hooks (ganchos de propriedade), visibilidade assimétrica, e a nova API DOM com suporte a HTML5.
Alerta: Atualize para 8.4.27. Recomendada para projetos que buscam os recursos mais modernos com suporte de longo prazo.
Status: Versão mais recente com suporte até 31/12/2029.
Mudanças marcantes: Operador Pipe (|>) para encadeamento funcional, funções array_first() e array_last(), e rastreamento de pilha para erros fatais.
Alerta: Atualize para 8.5.12. Ideal para ambientes que precisam do que há de mais novo, mas exige testes de compatibilidade.