Ökosystem · PHP · Composer
Die Schwachstellen Ihrer PHP-Projekte und Ihrer PHP-Version.
LibWatch liest composer.json und composer.lock, prüft jedes Packagist-Paket und überwacht das Supportende Ihres PHP-Zweigs. Symfony, Laravel, Drupal oder Eigenentwicklung: dieselbe Analyse.
Was LibWatch im Repository liest
composer.jsoncomposer.lock
Sprachversion: config.platform.php oder require.php
Sonst nichts: kein Klonen, keine Codeausführung.
Was LibWatch prüft
Die Pakete und die Ebene darunter
Packagist-Pakete
Bekannte Schwachstellen
Jedes Paket im Lockfile wird mit OSV abgeglichen, das die GitHub Advisories enthält.
PHP-Version
Supportende
Die deklarierte Version wird überwacht: Sie wissen, wann sie keine Korrekturen mehr erhält.
Zustand
Lizenzrichtlinie
Lizenzen, die der Richtlinie Ihres Projekts widersprechen, werden gemeldet.
Eine Warnung, ganz konkret
Eine Composer-Schwachstelle, mit der Version, die sie behebt
Keine 300 Zeilen: die Schwachstellen, die Ihre Versionen betreffen, mit der korrigierten Version.
Tatsächlicher Schweregrad
CVSS-Schweregrad und Eintrag im KEV-Katalog der CISA
Was zu tun ist
Die korrigierte Version und das betroffene Projekt
Wohin
E-Mail, Slack, Zulip oder Webhook, pro Projekt einstellbar
orders-api · Symfony
Beispiel · Analyse vom 22.10.
-
Supportende
PHP (deklariert)
^8.1
-
Schweregrad mittel
symfony/http-kernel
v6.4.1
-
Aktuell
guzzlehttp/guzzle
7.8.1
Jede Nacht um 2 Uhr erneut geprüft
Supportende
Wo Ihr PHP-Zweig steht
Offizieller Zeitplan von php.net, Stand 22.10.2026.
| Zweig | Korrigierte Version | Support | Zu tun |
|---|---|---|---|
| 8.5 | 8.5.12 | Aktiv · Sicherheit → 2029 | Aktuell bleiben |
| 8.4 | 8.4.27 | Aktiv · Sicherheit → 2028 | Aktuell bleiben |
| 8.3 | 8.3.36 | Nur Sicherheit → 2027 | Migration einplanen |
| 8.2 | 8.2.35 | Ende am 31.12.2026 | Vor Jahresende migrieren |
| 8.1 | keine | Beendet seit 31.12.2025 | Jetzt migrieren |
Daten erhoben am 22.10.2026.
Loslegen
Der erste Bericht in wenigen Minuten
Ohne Änderung an der Pipeline.
Verbinden Sie GitHub oder GitLab
Auch selbst gehostete GitLab-Instanzen.
Wählen Sie Ihre PHP-Repositorys
LibWatch findet die oben genannten Dateien selbst, auch in einem Monorepo.
Lesen Sie den Bericht, richten Sie die Warnungen ein
Aktiv ausgenutzte Schwachstellen zuerst, korrigierte Versionen, Supportende der Sprache.
Häufige Fragen
LibWatch und PHP
composer.lock oder composer.json?
Beide. composer.lock liefert die exakten Versionen, composer.json die erwartete PHP-Version.
Werden Private Packagist und Satis unterstützt?
Ja. Ein Paket, das außerhalb von Packagist verteilt wird (Satis, Private Packagist, lokales Repository), wird als privat erkannt: Sein Name wird an keinen Drittdienst gesendet, und es bleibt im Inventar des Projekts.
Sieht LibWatch die PHP-Version des Servers?
Nein. Es liest die in composer.json deklarierte Version (config.platform.php, sonst require.php). Es hat keinen Zugriff auf Ihre Server.