Écosystème · PHP · Composer

Les failles de vos projets PHP, et de votre version de PHP.

LibWatch lit composer.json et composer.lock, vérifie chaque paquet Packagist et suit la fin de support de votre branche PHP. Symfony, Laravel, Drupal ou PHP maison : la même analyse.

Analyser un projet PHP Voir une alerte type
Lire avec une IA Version .md

Ce que LibWatch lit dans le dépôt

  • composer.json
  • composer.lock

Version de langage : config.platform.php ou require.php

Rien d'autre : aucun clone, aucun code exécuté.

Ce que LibWatch vérifie

Les paquets, et l'étage du dessous

Paquets Packagist

Failles connues

Chaque paquet du lockfile comparé à OSV, qui reprend les avis GitHub.

Version de PHP

Fin de support

La version déclarée est suivie : vous savez quand elle ne reçoit plus de correctifs.

Santé

Politique de licences

Les licences contraires à la politique de votre projet sont signalées.

Une alerte, concrètement

Une faille Composer, avec la version qui corrige

Pas 300 lignes : les failles qui touchent vos versions, avec la version corrigée.

Gravité réelle

Gravité CVSS et présence au catalogue KEV de la CISA

Quoi faire

La version corrigée, et le projet concerné

Où

E-mail, Slack, Zulip ou webhook, réglable par projet

api-commandes · Symfony

Exemple · analyse du 22/10

  • PHP (déclaré)

    ^8.1

    Fin de support

  • symfony/http-kernel

    v6.4.1

    Faille moyenne

  • guzzlehttp/guzzle

    7.8.1

    À jour

Revérifié chaque nuit à 2 h

Fin de support

Où en est votre branche de PHP

Calendrier officiel de php.net, relevé le 22/10/2026.

Branche Version corrigée Support À faire
8.5 8.5.12 Actif · sécurité → 2029 Rester à jour
8.4 8.4.27 Actif · sécurité → 2028 Rester à jour
8.3 8.3.36 Sécurité seule → 2027 Prévoir la migration
8.2 8.2.35 Fin le 31/12/2026 Migrer avant la fin de l'année
8.1 aucune Fin depuis le 31/12/2025 Migrer maintenant

Dates relevées le 22/10/2026.

Démarrer

Premier rapport en quelques minutes

Sans pipeline à modifier.

Connectez GitHub ou GitLab

Y compris une instance GitLab auto-hébergée.

Choisissez vos dépôts PHP

LibWatch repère seul les fichiers listés plus haut, même dans un monorepo.

Lisez le rapport, réglez les alertes

Failles exploitées en tête, versions corrigées, fin de support du langage.

Pour aller plus loin

Alerte en cours

PHP2Shell

Deux failles critiques dans le moteur PHP.

Lire la fiche

Outil gratuit

Vérifier un composer.lock

Sans compte, aperçu immédiat.

Essayer

Fin de support

Votre langage aussi

Pourquoi LibWatch suit la version de votre langage.

Découvrir

Questions fréquentes

LibWatch et PHP

composer.lock ou composer.json ?

Les deux. composer.lock donne les versions exactes ; composer.json donne la version de PHP attendue.

Packagist privé ou Satis sont-ils pris en charge ?

Oui. Un paquet distribué hors de Packagist (Satis, Private Packagist, dépôt local) est repéré comme privé : son nom n'est envoyé à aucun service tiers, et il reste dans l'inventaire du projet.

LibWatch voit-il la version de PHP du serveur ?

Non. Il lit la version déclarée dans composer.json (config.platform.php, sinon require.php). Il n'a aucun accès à vos serveurs.

Vos projets PHP, vérifiés cette nuit.

Analyser un projet
Hébergé en France chez OVHcloud