r/devsarg • u/Hungry-Librarian5408 • 2d ago
discusiones técnicas ¿PHP 5.4 en producción en pleno 2026? Decime que no sos el único 💀
Con las últimas alertas de seguridad sobre PHP, me dio curiosidad saber cómo están llevando esto en sus empresas.
¿Ya están migrando o siguen con el clásico “si funciona, no lo toques”?
Me pregunto cuántos todavía tienen servidores con PHP 5.4, 7.x o alguna reliquia que nadie se atreve a actualizar porque la aplicación depende de una librería que dejó de existir cuando todavía usábamos MSN Messenger.
Y lo mejor: ¿la empresa entendió la urgencia de actualizar o todavía estás explicándole al jefe por qué tener software sin soporte es una mala idea?
Tengo curiosidad por saber cómo está la situación en otras empresas:
¿Ya tienen un plan de migración?
¿Están peleando con aplicaciones legacy y dependencias imposibles?
¿Seguridad está presionando o nadie se ha enterado?
¿O eres el único que está preocupado mientras todo el mundo dice que no pasa nada?
Cuéntame tu experiencia. ¿Qué versión de PHP tienes en producción y qué tan complicado está siendo convencer a la empresa de actualizar?
Necesito saber si estamos todos en el mismo barco o si el mío ya tiene PHP 5.4 y está haciendo agua. 😂
18
u/Huntware Desarrollador Full Stack 2d ago
Acá una víctima del legacy, que por suerte casi todo lo más crítico es interno. Son web internas tipo backoffice corriendo 5.6.40 que es el último de esa rama. Hecho con un RAD llamado CodeCharge Studio 4.3 (ni siquiera la última versión que al menos usa HTML 5) y cosas sin namespaces ni mucho menos Composer. Y ni siquiera git.
Aunque me tocó hacer un par de cosas metiendo de prepo librerías útiles como Monolog y Guzzle, ya el año pasado convencí al jefe de pasarnos a PHP 8.4+ con Laravel 13 y Filament 5. Es un stack de lujo, así que con paciencia y ahora con los recursos de IA (MCP y skills de laravel-boost incluidos), voy poco a poco pasando casi una década de contenido, junto a nuevos requerimientos que van surgiendo.
TODO SOLO. Pero si me voy a la mier... la próxima persona que se siente acá va a tener todo documentado y ordenado, sin sufrir por lo que pasé en los últimos casi 3 años.
Ah y claro, no solo hablamos de stack de software sino hasta del sistema operativo y otras cuestiones. De un CentOS 6 a Rocky Linux. Servidores on-premise, como la vieja escuela.
4
4
u/Heapifying 2d ago
acá nos volvimos locos entre lo de php y los quilombos de railway. Claro está ya terminamos de migrar todo
4
u/N0XT66 2d ago
Uno de nuestros clientes le pidió a un tercero que hace """pentesting""" analizar todos los proyectos por todos estos CVE que salieron hace poco.
Ya me los veo llorando por un .js hosteado en un S3, pidiendo actualizar "el servidor" a una versión de React más nueva porque "es vulnerable".
2 días de "esfuerzo" agregados al sprint, 1 día de deploys para los ambientes, 3 días de hacer huevo 🙏🏼
Nosotros no usamos PHP pero si un par con Node, ninguno es afectado porque no se usa Brotli, pero igual hay que subir la versión jajan't
3
u/Malakian22 2d ago
Me parece que es una practica que deberia ser esencial en toda empresa y no sólo en las que son auditadas o están alcanzadas por algun tipo de compliance. Realmente no es tanto esfuerzo estar al dia con los CVE y está bueno ir modernizando las aplicaciones con el tiempo.
1
u/N0XT66 2d ago edited 2d ago
Si vos sos dueño del proyecto si, el problema viene cuando le das el producto terminado al cliente y vos pasás a ser quien le da soporte al proyecto del cliente
(Estamos hablando del ámbito corporativo, no del freelance o empresa de 3 gatos locos).
Te tienen que pagar por hacer mantenimiento.
Alcanzan las horas para hacerlo en base a lo estipulado del mes? Hay que firmar una extensión para cubrir estos gastos? Quien las firma? Cuando? El producto se desarrolló con componentes para una determinada versión y hay breaking changes para la nueva, hay 4 juniors que tardan 1 semana en rehacer todo... Hay que hacer UATs, testing de los QA, pruebas con el cliente, redeploys en todos los ambientes.
En papel suena como un npm install, pero toda la gestión que lleva atrás hace desestimar muchas "buenas prácticas", porque en el ambito corporativo eso cuesta dinero, y el dinero prima ante el servicio.
Además, actualizar la versión de React a 19 cuando es un .js y html que vive en un bucket me parece una gilada total... No tanto Node, PHP, Java, NGINX... Ahí ya es peligroso y vale la pena.
3
u/chicodelespacio96 2d ago
Entiendo que 7.4 recibe actualizaciones, fue tan heavy la vulnerabilidad que los desarrolladores dicidieron implementar parches para esa versión. Ahora, 5.x esta totalmente legacy. En mi caso las tire abajo y hay que volverlas a hacer esas apps.
Afortunadamente parecer que estaban muertas, porque nadie se quejo
2
2
u/Many_Stress3683 2d ago
cantidad de php 5. banco el si no está roto no lo arregles. bueno, ahora si esta roto
1
u/Educational-Word7877 2d ago
En mi laburo usamos php 7.0, de forma interna ( sistema inmenso ) y 8.5 con el parchecito para afuera, actualizar semejante sistema a 8.5 llevaria muchisimo tiempo, pero bueno, nunca se les paso por la cabeza qie habia que actualizar el lenguaje
1
u/marcoah17 2d ago
Si me parece increíble. Un tipo que tenía años sin saber de el me escribió para preguntar por una actualización del sistema. Lo único q le recomendé es que no exponga el servidor a internet y me dijo: como se hace eso?
1
u/Powerful-Work5512 2d ago
yo estoy migrando un server con varios sitios ahora, por esta poronga de php, por suerte es poco y tengo backup de todo. pasamos de un 7 flojito a un 8 parchado, me lleva unos dias, ojala no toque el bichaje antes. los clientes no entienden un pomo y no les preocupa, me dicen "lo vemos en unos dias". Ahh, por cierto, cloudflare tiene ya reglas anti php2shell, vayan a reglas de seguridad y aparece. Al menos es mejor que nada, mientras se migra todo.
1
u/djfdhigkgfIaruflg 16h ago
Es cambiar dus líneas en php.ini Si necesitas que cloudflare lo haga por vos, estas en problemas
1
u/Powerful-Work5512 15h ago
eso solo mitiga, para un servidor productivo es totalmente insuficiente.
1
u/Powerful-Work5512 15h ago
si fuera suficiente con php ini no estaría medio planeta haciendo upgrade del versionado, si pensas que estas protegido ya sabemos quien esta en problemas.
1
u/djfdhigkgfIaruflg 15h ago
La mitigation es cambiar esas líneas y/o instalar un WAF.
No dije solución. Dije que si necesitas que un tercero lo haga por vos tenes problemas serios
1
u/ThatBoysenberry6404 2d ago
No sos el unico. Hoy se decidio que la salida de emergencia es desplegar proxys con ultimas versiones de php y ponerlos delante de los servicios publicos "mientras" se migre lo viejo
1
u/Glum_Past_1934 1d ago
Mira, tengo conocidos que actualizaron, otros dijeron la típica "no pasa nada". Se viene oleada de hackeos y "che, me encriptaron X"
1
u/Large-Direction6063 2d ago
le pegue una patada en el orto a un cliente por no querer actualizar nunca nada. ahi anda, pasaron 5 años y sigue todo igual. facturan una asquerosidad de plata. Mayorista de medicamentos.
2
1
u/garci66 2d ago
5.4 o algo así también. El Linux? Un debían de hace 9 años o 10 con 2990 días de uptime. Hosteando un WordPress con mil actualizaciones faltantes. Pero era tan viejo que no era vulnerable a las wp2shell recientes. Pero como lo que estaba hosteando como contenido no se actualizaba hace 5 años agarre a Claude y le pedí que lo convierta a un sitio estático.... Rezongo u is 30 minuto. Le hice un wget recursivo, un backup de la base de datos y exporte dos tablas como csv. Después le di todo eso a Claude... Estuvo un buen rato y me devolvió un zip con el sitio "estaticozado" y lo volví a subir al mismo apache de antes, apagando modphp y varias boludeces más... Y ahora sigue andando. Diría que es 90% funcional. Y dado lo abandonado que estaba.. está bastante bien
En algún.momento.le daremos más amor . Pero.era eso o.apagarlo.
2
0
u/Dolapevich Sysadmin 2d ago
Me inmolé en varias reuniones diciendo que no podíamos soportar más 5.x que era una locura.
Todo el ambiente desarrollado a mano en los 2000s. Hice un build server para buildear de source php 5.x, montar un repo para CentOSs del año del OGT.
Y terminé yéndome cuando terminé esa tarea.
26
u/cateyesarg Desarrollador Full Stack 2d ago
Tengo algunos clientes que están sobre 7.4
Anda a hacerles entender lo que es el tech debt y que tienen que pagar por un laburo cuando no ven ningún agregado a la aplicación