Un tercio de los sitios PHP corre sin parches, y 8.2 es la siguiente

Según el estudio de uso de W3Techs del 22 de octubre de 2026, el 34,7 % de los sitios web que usan PHP funcionan con PHP 7 o anterior, y cada una de esas versiones ya ha pasado su fin de vida. Ese mismo día, la página de versiones soportadas de php.net muestra PHP 8.2 con soporte de seguridad hasta el 31 de diciembre de 2026: dentro de 70 días. Si mantienes sitios de clientes, una cuenta de hosting compartido o una aplicación interna antigua, esta es la semana para averiguar de qué lado de esa línea está cada uno, porque el aviso del 21 de octubre sobre las RCE del núcleo de PHP dejó claro lo que cuesta.

Lo que dice el estudio y lo que no

W3Techs informa de que PHP lo usa el 69,3 % de los sitios cuyo lenguaje de servidor consigue identificar. Entre esos sitios PHP, la versión 8 está en el 65,3 %, la 7 en el 26,9 %, la 5 en el 7,7 % y la 4 en el 0,1 %. Hay dos matices que deben ir junto a esas cifras. El estudio solo puede contar lo que se ve desde fuera, así que un sitio que oculta su versión de PHP no entra en el desglose por versiones. Y solo da versiones mayores: el 65,3 % de la "8" incluye 8.0 y 8.1, que ya están fuera de soporte, y 8.2, a pocas semanas de estarlo. La proporción real sin soporte es, por tanto, de al menos el 34,7 %.

Por lo general, el PHP antiguo sobrevive por motivos corrientes: un hosting compartido mantiene una versión vieja disponible para no romper nada, una agencia entregó un sitio hace años y nadie se encarga de sus actualizaciones, o un plugin o paquete fijó el runtime y nunca se sustituyó. Nada de eso se ve desde el navegador, y precisamente por eso sigue funcionando.

Qué significa "solo soporte de seguridad"

php.net da a cada rama dos años de soporte activo desde su primera versión estable, luego dos años más solo con correcciones de seguridad críticas, publicadas según haga falta, y después el fin de vida. Solo seguridad significa que los bugs normales se quedan sin arreglar; únicamente los agujeros graves reciben una versión. Después de la fecha final, nada. El propio proyecto lo dice así: quien usa una versión al final de su vida puede quedar expuesto a vulnerabilidades de seguridad sin parchear.

El aviso de octubre es un buen ejemplo. Dice que PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP. Por la gravedad del caso, el equipo de seguridad publicó aun así backports mínimos del código fuente para 7.4, 8.0 y 8.1, solo para esa versión y solo para quien compila PHP desde el código fuente. Mi lectura, que es una deducción y no una promesa de nadie, es que no deberías planificar contando con que se repita.

Un plan de migración con fechas

Las fechas salen directamente de php.net. 8.3 recibe correcciones de seguridad hasta el 31 de diciembre de 2027. 8.4 está en soporte activo hasta el 31 de diciembre de 2026 y recibe correcciones de seguridad hasta el 31 de diciembre de 2028. 8.5 está en soporte activo hasta el 31 de diciembre de 2027 y recibe correcciones de seguridad hasta el 31 de diciembre de 2029. Para un sitio en 8.2 hoy, 8.4 u 8.5 es el objetivo sensato; pasar a 8.3 te da un año y te obliga a repetir el trabajo pronto. Antes de cambiar el runtime, comprueba que las dependencias del proyecto lo aceptan:

# the version the command line runs
php -r 'echo PHP_VERSION, PHP_EOL;'
# run under the target PHP: do the dependencies accept it?
composer check-platform-reqs

Recuerda que la línea de comandos y el servidor web pueden usar versiones de PHP distintas, así que confirma también la que atiende las peticiones.

Si el servidor lo gestiona otra persona, haz tres preguntas por escrito. ¿Qué versión de PHP usa el sitio en producción para las peticiones web? ¿En qué fecha pasará a 8.4 u 8.5? ¿Quién aplica las versiones de seguridad de PHP, y se aplicaron las del 21 de octubre?

El siguiente paso, hoy: haz una lista de tus sitios, escribe junto a cada nombre la versión de PHP que sirve y ponle a cada entrada por debajo de 8.3 una fecha de migración antes de fin de año. Fuente: php.net, versiones soportadas.