# Les failles de vos projets PHP, et de votre version de PHP.

Source : https://libwatch.com/ecosystemes/php-composer

Écosystème · PHP · Composer

LibWatch lit composer.json et composer.lock, vérifie chaque paquet Packagist et suit la fin de support de votre branche PHP. Symfony, Laravel, Drupal ou PHP maison : la même analyse.

[Analyser un projet PHP](https://app.libwatch.com/users/sign_up?source=eco_php)

[Voir une alerte type](#alerte)

Ce que LibWatch lit dans le dépôt

- `composer.json`
- `composer.lock`

Version de langage : config.platform.php ou require.php

Rien d'autre : aucun clone, aucun code exécuté.

Ce que LibWatch vérifie

## Les paquets, et l'étage du dessous

Paquets Packagist

### Failles connues

Chaque paquet du lockfile comparé à OSV, qui reprend les avis GitHub.

Version de PHP

### Fin de support

La version déclarée est suivie : vous savez quand elle ne reçoit plus de correctifs.

Santé

### Politique de licences

Les licences contraires à la politique de votre projet sont signalées.

Une alerte, concrètement

## Une faille Composer, avec la version qui corrige

Pas 300 lignes : les failles qui touchent vos versions, avec la version corrigée.

Gravité réelle

Gravité CVSS et présence au catalogue KEV de la CISA

Quoi faire

La version corrigée, et le projet concerné

Où

E-mail, Slack, Zulip ou webhook, réglable par projet

Fin de support

## Où en est votre branche de PHP

Calendrier officiel de php.net, relevé le 22/10/2026.

| Branche | Version corrigée | Support | À faire |
| --- | --- | --- | --- |
| 8.5 | 8.5.12 | Actif · sécurité → 2029 | Rester à jour |
| 8.4 | 8.4.27 | Actif · sécurité → 2028 | Rester à jour |
| 8.3 | 8.3.36 | Sécurité seule → 2027 | Prévoir la migration |
| 8.2 | 8.2.35 | Fin le 31/12/2026 | Migrer avant la fin de l'année |
| 8.1 | aucune | Fin depuis le 31/12/2025 | Migrer maintenant |

Dates relevées le 22/10/2026.

Démarrer

## Premier rapport en quelques minutes

Sans pipeline à modifier.

### Connectez GitHub ou GitLab

Y compris une instance GitLab auto-hébergée.

### Choisissez vos dépôts PHP

LibWatch repère seul les fichiers listés plus haut, même dans un monorepo.

### Lisez le rapport, réglez les alertes

Failles exploitées en tête, versions corrigées, fin de support du langage.

## Pour aller plus loin

Alerte en cours

### PHP2Shell

Deux failles critiques dans le moteur PHP.

[Lire la fiche : PHP2Shell](/cve/php2shell)

Outil gratuit

### Vérifier un composer.lock

Sans compte, aperçu immédiat.

[Essayer : Vérifier un composer.lock](/outils/verifier-composer)

Fin de support

### Votre langage aussi

Pourquoi LibWatch suit la version de votre langage.

[Découvrir : Votre langage aussi](/fonctionnalites/fin-de-support)

Questions fréquentes

## LibWatch et PHP

### composer.lock ou composer.json ?

Les deux. composer.lock donne les versions exactes ; composer.json donne la version de PHP attendue.

### Packagist privé ou Satis sont-ils pris en charge ?

Oui. Un paquet distribué hors de Packagist (Satis, Private Packagist, dépôt local) est repéré comme privé : son nom n'est envoyé à aucun service tiers, et il reste dans l'inventaire du projet.

### LibWatch voit-il la version de PHP du serveur ?

Non. Il lit la version déclarée dans composer.json (config.platform.php, sinon require.php). Il n'a aucun accès à vos serveurs.

## Vos projets PHP, vérifiés cette nuit.

[Analyser un projet](https://app.libwatch.com/users/sign_up?source=eco_php)

Hébergé en France chez OVHcloud