Ecosistema · PHP · Composer
Las vulnerabilidades de tus proyectos PHP y de tu versión de PHP.
LibWatch lee composer.json y composer.lock, comprueba cada paquete de Packagist y vigila el fin de soporte de tu rama de PHP. Symfony, Laravel, Drupal o PHP a medida: el mismo análisis.
Lo que LibWatch lee en el repositorio
composer.jsoncomposer.lock
Versión del lenguaje: config.platform.php o require.php
Nada más: sin clonar, sin ejecutar código.
Lo que LibWatch comprueba
Los paquetes, y el piso de abajo
Paquetes de Packagist
Vulnerabilidades conocidas
Cada paquete del lockfile se compara con OSV, que recoge los avisos de GitHub.
Versión de PHP
Fin de soporte
Se vigila la versión declarada: sabes cuándo deja de recibir correcciones.
Salud
Política de licencias
Se señalan las licencias que van contra la política de tu proyecto.
Una alerta, en concreto
Una vulnerabilidad de Composer, con la versión que la corrige
No 300 líneas: las vulnerabilidades que afectan a tus versiones, con la versión corregida.
Gravedad real
Gravedad CVSS y presencia en el catálogo KEV de la CISA
Qué hacer
La versión corregida y el proyecto afectado
Dónde
Correo, Slack, Zulip o webhook, configurable por proyecto
api-commandes · Symfony
Ejemplo · análisis del 22/10
-
Fin de soporte
PHP (declarado)
^8.1
-
Vulnerabilidad media
symfony/http-kernel
v6.4.1
-
Al día
guzzlehttp/guzzle
7.8.1
Se vuelve a comprobar cada noche a las 2:00
Fin de soporte
En qué punto está tu rama de PHP
Calendario oficial de php.net, consultado el 22/10/2026.
| Rama | Versión corregida | Soporte | Qué hacer |
|---|---|---|---|
| 8.5 | 8.5.12 | Activa · seguridad → 2029 | Mantenerse al día |
| 8.4 | 8.4.27 | Activa · seguridad → 2028 | Mantenerse al día |
| 8.3 | 8.3.36 | Solo seguridad → 2027 | Planificar la migración |
| 8.2 | 8.2.35 | Fin el 31/12/2026 | Migrar antes de fin de año |
| 8.1 | ninguna | Terminada desde el 31/12/2025 | Migrar ya |
Fechas consultadas el 22/10/2026.
Empezar
Primer informe en unos minutos
Sin tocar ningún pipeline.
Conecta GitHub o GitLab
Incluida una instancia de GitLab autoalojada.
Elige tus repositorios de PHP
LibWatch encuentra solo los archivos indicados arriba, incluso en un monorepo.
Lee el informe y ajusta las alertas
Vulnerabilidades explotadas primero, versiones corregidas y fin de soporte del lenguaje.
Preguntas frecuentes
LibWatch y PHP
¿composer.lock o composer.json?
Los dos. composer.lock da las versiones exactas; composer.json da la versión de PHP esperada.
¿Se admiten Packagist privado o Satis?
Sí. Un paquete distribuido fuera de Packagist (Satis, Private Packagist, repositorio local) se detecta como privado: su nombre no se envía a ningún servicio de terceros y sigue en el inventario del proyecto.
¿LibWatch ve la versión de PHP del servidor?
No. Lee la versión declarada en composer.json (config.platform.php, si no, require.php). No tiene ningún acceso a tus servidores.