Roost: el entorno PHP que sabe cuándo caduca lo que instala

21 de octubre de 2026

Salió PHP2Shell y nadie supo decir qué había instalado.

Dos RCE sin autenticación en el core de PHP. Al día siguiente, en un portátil con Laragon aparecieron seis versiones de PHP vulnerables y dos 7.4 fuera de soporte que nadie recordaba. Hubo que escribir un script para saberlo.

Ni Laragon, ni Herd, ni XAMPP avisan de esto: tratan lo que instalan como si no caducara. Roost es ese script, generalizado y mantenido.

9.2CVSS de CVE-2026-109618 y CVE-2026-109619

6PHP vulnerables en un solo Laragon

2PHP 7.4 olvidados, sin parches desde 2022

1 clicpara instalar la corregida: 8.2.35, 8.3.36, 8.4.27 u 8.5.12

Funciones

Lo que te gusta de Laragon, en un producto que sabe lo que tienes.

Carpetas autocontenidas, procesos de tu usuario y nada de instaladores de sistema. Y cada versión que instala, vigilada.

Sitios https://*.test en segundos

Nombre, PHP y base de datos, y a programar. Cada sitio con su vhost de nginx y su certificado de una CA local que solo existe en tu equipo.

Un PHP para cada proyecto

El proyecto viejo en 7.4 y el nuevo en 8.4, a la vez y sin tocarse. Roost lee el composer.json y te recomienda la rama.

MariaDB y MySQL

MariaDB de cualquier rama estable, o MySQL 8.4, 8.0 y 5.7. Los datos van por motor y rama, y Roost nunca los borra.

Vente de Laragon sin mover nada

Detecta tus PHP y las carpetas de C:\laragon\www y te propone traerlas como sitios. Laragon sigue donde estaba.

Bandeja, app y terminal

Arranca, para y cambia de PHP desde la bandeja. Todo lo que hace la app lo hace roost en la terminal, también con --json.

Descargas verificadas

PHP oficiales de windows.php.net y MariaDB de su API, con el SHA-256 comprobado antes de extraer. nginx y MySQL, con su firma PGP verificada.

Auditoría

Un semáforo para todo lo que tienes instalado. De Roost o no.

Roost revisa los PHP, MySQL y MariaDB de Laragon, XAMPP, WAMP, Herd, Program Files y el PATH contra un feed firmado de avisos y fechas de fin de vida. Se evalúa en tu equipo, sin enviar nada.

RojoVulnerable o fuera de soporte. Con el aviso, la mitigación y la versión a la que actualizar.
ÁmbarNo hay certeza. Un paquete de distro como 7.4.3-4ubuntu2.29+esm5 parece vulnerable y puede llevar el parche. Roost no te asusta en falso: te dice cómo comprobarlo.
VerdeAl día frente a los avisos conocidos.

PowerShell

PS C:\> roost audit
Componente  Versión   Origen         Veredicto
PHP         8.3.18    Laragon        VULNERABLE → 8.3.36
PHP         7.4.9     Laragon        EOL
PHP         7.4.9 x86 Laragon        EOL
PHP         7.4.33    Roost          EOL
MySQL       5.7.44    Roost          EOL
MariaDB     10.6.28   Program Files  EOL
PHP         8.4.27    Roost          PARCHEADA
MariaDB     11.4.13   Roost          SOPORTADA
            … y 8 más, todo en verde

CVE-2026-109618, CVE-2026-109619 · PHP2Shell · CVSS 9.2 · KEV
  Mitigación  session.upload_progress.enabled = 0
  Arreglo     PHP 8.2.35, 8.3.36, 8.4.27 u 8.5.12

6 bloqueantes · código de salida 1

Para la CI: sale con código 1 si hay algo vulnerable o EOL con certeza, y --json trae el campo blocking.

Para todos: los avisos críticos y los EOL llegan igual en la versión gratuita y en la Pro.

Comparativa

Por qué no lo de siempre.

Laragon acertó con el modelo: carpetas autocontenidas y procesos de usuario. A partir de ahí, esto es lo que cambia.

Característica	Roost	Laragon	Herd	XAMPP
Avisa de versiones EOL y con CVE	SíCon el botón para actualizar	No	No	No
Varias versiones de PHP a la vez	SíUna distinta por sitio	Sí	Sí	NoUna por instalación
Actualizar PHP	Un clicTus ajustes de php.ini se conservan	A manoBajar un zip y copiar el php.ini	Gestionado	Nueva instalación
Base de datos en la versión gratuita	SíMariaDB y MySQL	Sí	NoSolo en Herd Pro	Sí
Código abierto	SíMIT	No	No	Sí
Sistemas	WindowsLinux, próximamente	Solo Windows	macOS y Windows	Windows, Linux y macOS
Precio	GratisPro opcional, próximamente	De pago para uso comercialDesde la v6	GratisPro: 99 $ al año	Gratis

¿Y DDEV o Lando? Son reproducibles y muy completos, pero necesitan Docker: en Windows eso es WSL2, Hyper-V y un arranque lento. Roost es para «un PHP, un MySQL y a programar».

Gratis y Pro

Gratis para siempre. Pro para quien vive de esto.

Roost está completo para un desarrollador solo y lo seguirá estando. Roost Pro añadirá lo que piden los clientes, los servidores y los equipos.

Roost

Disponible

0 €para siempre · MIT

Todo lo que necesitas para desarrollar en PHP en tu máquina.

PHP, nginx, MariaDB y MySQL, con sitios .test en HTTPS
Un PHP por sitio y una base de datos global
La CLI entera y la app de escritorio con bandeja
Auditoría de EOL y avisos críticos, con el feed diario
Importar desde Laragon
Shims de terminal, DNS local, Xdebug y plantillas En camino

Descargar para Windows

Roost Pro

Próximamente

desde79 €al año · precio orientativo

Todo lo de Roost, más lo que pide trabajar para clientes o en equipo.

Varias bases de datos a la vez, y una por sitio
PostgreSQL, Redis, Mailpit y Meilisearch
Copias de seguridad e instantánea antes de actualizar
Feed ampliado (PECL, composer audit, Debian y Ubuntu) con aviso el mismo día
roost audit --ssh para tus servidores, e informes para el cliente
Compartir un sitio por túnel, y equipos con la configuración compartida

Un solo correo, el día que salga, y solo para eso. Hasta entonces no se cobra nada.

La seguridad básica no es de pago: los EOL y los avisos críticos llegan a todos con el mismo feed.Comparar los dos planes

Preguntas

Lo que suele preguntarse.

¿Puedo instalarlo al lado de Laragon?

Sí. Roost vive en C:\roost y no toca C:\laragon. La primera vez te propone traer las ramas de PHP que usas y registrar las carpetas de tu www como sitios. Si el puerto 80 o el 3306 ya están ocupados, te dice qué programa los tiene.

¿Necesito Docker o WSL?

No. PHP, nginx y la base de datos corren como procesos normales de tu usuario, vigilados por un pequeño daemon que los relanza si se caen y que se los lleva con él al cerrarse.

¿Qué toca de mi sistema?

Solo el fichero hosts, a través de un ayudante mínimo que pide permiso (UAC) y únicamente sabe escribir líneas 127.0.0.1 nombre.test. La CA local se instala en el almacén de tu usuario, no en el de la máquina.

¿Y Linux y macOS?

roost scan y roost audit ya funcionan en Linux y macOS. Instalar y servir llegará primero a Linux, con los mismos comandos y los mismos ficheros; macOS vendrá después.

¿El Pro me quitará algo de lo gratis?

No. Nada de lo que hoy es gratis pasará al Pro, y lo publicado como MIT seguirá siendo MIT.

Mira qué tienes instalado. Tarda un minuto.

Descarga Roost, ábrelo y la auditoría te dice qué está en rojo, aunque sigas usando Laragon.

Descargar para Windows

o en la terminal: roost audit