# Las vulnerabilidades de tus proyectos PHP y de tu versión de PHP.

Fuente: https://libwatch.com/es/ecosistemas/php-composer

Ecosistema · PHP · Composer

LibWatch lee composer.json y composer.lock, comprueba cada paquete de Packagist y vigila el fin de soporte de tu rama de PHP. Symfony, Laravel, Drupal o PHP a medida: el mismo análisis.

[Analizar un proyecto PHP](https://app.libwatch.com/users/sign_up?source=eco_php&locale=es)

[Ver una alerta de ejemplo](#alerte)

Lo que LibWatch lee en el repositorio

- `composer.json`
- `composer.lock`

Versión del lenguaje: config.platform.php o require.php

Nada más: sin clonar, sin ejecutar código.

Lo que LibWatch comprueba

## Los paquetes, y el piso de abajo

Paquetes de Packagist

### Vulnerabilidades conocidas

Cada paquete del lockfile se compara con OSV, que recoge los avisos de GitHub.

Versión de PHP

### Fin de soporte

Se vigila la versión declarada: sabes cuándo deja de recibir correcciones.

Salud

### Política de licencias

Se señalan las licencias que van contra la política de tu proyecto.

Una alerta, en concreto

## Una vulnerabilidad de Composer, con la versión que la corrige

No 300 líneas: las vulnerabilidades que afectan a tus versiones, con la versión corregida.

Gravedad real

Gravedad CVSS y presencia en el catálogo KEV de la CISA

Qué hacer

La versión corregida y el proyecto afectado

Dónde

Correo, Slack, Zulip o webhook, configurable por proyecto

Fin de soporte

## En qué punto está tu rama de PHP

Calendario oficial de php.net, consultado el 22/10/2026.

| Rama | Versión corregida | Soporte | Qué hacer |
| --- | --- | --- | --- |
| 8.5 | 8.5.12 | Activa · seguridad → 2029 | Mantenerse al día |
| 8.4 | 8.4.27 | Activa · seguridad → 2028 | Mantenerse al día |
| 8.3 | 8.3.36 | Solo seguridad → 2027 | Planificar la migración |
| 8.2 | 8.2.35 | Fin el 31/12/2026 | Migrar antes de fin de año |
| 8.1 | ninguna | Terminada desde el 31/12/2025 | Migrar ya |

Fechas consultadas el 22/10/2026.

Empezar

## Primer informe en unos minutos

Sin tocar ningún pipeline.

### Conecta GitHub o GitLab

Incluida una instancia de GitLab autoalojada.

### Elige tus repositorios de PHP

LibWatch encuentra solo los archivos indicados arriba, incluso en un monorepo.

### Lee el informe y ajusta las alertas

Vulnerabilidades explotadas primero, versiones corregidas y fin de soporte del lenguaje.

## Para ir más allá

Alerta en curso

### PHP2Shell

Dos vulnerabilidades críticas en el motor de PHP.

[Leer la ficha: PHP2Shell](/es/cve/php2shell)

Herramienta gratuita

### Comprobar un composer.lock

Sin cuenta, vista previa inmediata.

[Probar: Comprobar un composer.lock](/es/herramientas/verificar-composer)

Fin de soporte

### Tu lenguaje también

Por qué LibWatch vigila la versión de tu lenguaje.

[Descubrir: Tu lenguaje también](/es/funcionalidades/fin-de-soporte)

Preguntas frecuentes

## LibWatch y PHP

### ¿composer.lock o composer.json?

Los dos. composer.lock da las versiones exactas; composer.json da la versión de PHP esperada.

### ¿Se admiten Packagist privado o Satis?

Sí. Un paquete distribuido fuera de Packagist (Satis, Private Packagist, repositorio local) se detecta como privado: su nombre no se envía a ningún servicio de terceros y sigue en el inventario del proyecto.

### ¿LibWatch ve la versión de PHP del servidor?

No. Lee la versión declarada en composer.json (config.platform.php, si no, require.php). No tiene ningún acceso a tus servidores.

## Tus proyectos PHP, comprobados esta noche.

[Analizar un proyecto](https://app.libwatch.com/users/sign_up?source=eco_php&locale=es)

Alojado en Francia en OVHcloud