PHP 8.2 bekommt ab 2027 keine Sicherheitsupdates mehr: So planst du den Umstieg

PHP 8.2 erhält nur noch bis zum 31.12.2026 Sicherheitsupdates. Ab 2027 schließt das PHP-Projekt in dieser Version keine Lücken mehr. PHP 8.1 ist bereits seit dem 31.12.2025 ohne Support. Wenn deine Website, dein Shop oder deine interne Anwendung auf einer dieser Versionen läuft, solltest du den Umstieg auf PHP 8.4 oder 8.5 jetzt planen. Zwei Monate sind für eine saubere Migration nicht viel Zeit.

Dieser Artikel zeigt, welche Versionen wie lange unterstützt werden, warum ein veraltetes PHP ein echtes Risiko ist und wie du den Umstieg Schritt für Schritt angehst.

Welche PHP-Versionen werden noch unterstützt?

Das PHP-Projekt unterscheidet zwei Phasen. Im aktiven Support gibt es Fehlerkorrekturen und Sicherheitsupdates. Danach folgt eine Phase, in der nur noch Sicherheitslücken geschlossen werden. Danach ist die Version am Ende (End of Life, kurz EOL).

Stand Oktober 2026 sieht das so aus:

Version	Aktiver Support bis	Sicherheitsupdates bis	Status
PHP 8.1	abgelaufen	31.12.2025	ohne Support
PHP 8.2	31.12.2024	31.12.2026	nur Sicherheitsupdates, endet bald
PHP 8.3	31.12.2025	31.12.2027	nur Sicherheitsupdates
PHP 8.4	31.12.2026	31.12.2028	aktiv
PHP 8.5	31.12.2027	31.12.2029	aktiv

PHP 8.0 ist seit November 2023 ohne Support, PHP 7.4 seit November 2022. Die nächste Version, PHP 8.6, befindet sich laut PHP-Projekt gerade in der Testphase.

Warum ist eine Version ohne Support gefährlich?

Eine veraltete PHP-Version funktioniert erst einmal weiter. Das macht sie tückisch. Das Problem zeigt sich erst, wenn eine neue Lücke bekannt wird.

Genau das ist im Oktober 2026 passiert. Mit PHP2Shell wurden zwei kritische Lücken in PHP selbst bekannt (CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 9.2). Sie erlauben Angriffe ohne Login. Das PHP-Projekt hat sie am 21.10.2026 in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen.

Für PHP 7.4, 8.0 und 8.1 gab es dagegen keine offiziellen Releases mit dem Fix, nur minimale Korrekturen im Quellcode. Wer diese Versionen betreibt, muss den Fix selbst einbauen oder auf seinen Hoster hoffen. Das BSI hat die Lage mit Stufe Orange bewertet und schreibt, dass nur Patchen oder das Trennen vom Internet vollständig schützt. Details zu PHP2Shell findest du im Artikel PHP2Shell: Was die kritische PHP-Lücke für dein Unternehmen bedeutet.

Ab dem 1. Januar 2027 wäre PHP 8.2 in derselben Lage. Bei der nächsten kritischen Lücke gäbe es kein offizielles Update mehr.

Welche Zielversion ist die richtige?

Für die meisten Projekte ist PHP 8.4 ein guter Zielpunkt: Die Version ist aktiv gepflegt und erhält Sicherheitsupdates bis Ende 2028. Wenn alle deine Abhängigkeiten schon mit PHP 8.5 laufen, gewinnst du ein weiteres Jahr.

Von PHP 8.3 als Ziel raten wir ab. Die Version bekommt heute schon nur noch Sicherheitskorrekturen und ist Ende 2027 am Ende. Du würdest die nächste Migration nur um ein Jahr verschieben.

So planst du den Umstieg

Eine PHP-Migration ist selten ein einzelner Knopfdruck. Sie ist aber gut planbar, wenn du in dieser Reihenfolge vorgehst.

1. Bestandsaufnahme machen

Liste alle Systeme auf, auf denen PHP läuft: Website, Shop, Kundenportal, interne Werkzeuge, Cronjobs, alte Testsysteme. Notiere zu jedem System:

• die PHP-Version (Webserver und Kommandozeile können abweichen)
• wer es betreut, intern oder beim Hoster
• welches CMS oder Framework in welcher Version läuft

Die Kommandozeilen-Version zeigt php -v. Für die Version der Website hilft die Verwaltung deines Hosters.

2. Abhängigkeiten prüfen

Moderne PHP-Projekte nutzen Composer. Prüfe, ob alle Pakete mit der Zielversion zusammenpassen:

# Welche Pakete sind veraltet?
composer outdated --direct

# Passt das Projekt zur Zielversion? (Beispiel: PHP 8.4)
composer why-not php 8.4

Bei WordPress, Shopware oder anderen Systemen mit Erweiterungen gilt dasselbe für Plugins und Themes. Gerade ältere oder nicht mehr gepflegte Erweiterungen sind oft der Grund, warum ein Update hakt. Wenn ein Plugin keine aktuelle PHP-Version unterstützt, brauchst du einen Ersatz.

3. Framework und CMS mitziehen

Frameworks wie Laravel oder Symfony setzen je nach Version bestimmte PHP-Versionen voraus. Häufig ist der PHP-Wechsel der Anlass, auch das Framework auf eine unterstützte Version zu heben. Plane das mit ein, statt es aufzuschieben.

4. Deprecations auswerten

Jede PHP-Version markiert Funktionen als veraltet (deprecated), bevor sie entfernt werden. Schalte auf dem Testsystem die Meldungen ein und lies sie aus:

; nur auf dem Testsystem
error_reporting = E_ALL
display_errors = Off
log_errors = On

Die Warnungen im Fehlerprotokoll zeigen dir, welche Stellen im Code angepasst werden müssen.

5. Testen auf einem Staging-System

Spiele die Umstellung zuerst auf einer Kopie deiner Anwendung durch, nie direkt auf dem Live-System. Vorhandene automatische Tests laufen lassen. Fehlen sie, teste die wichtigsten Abläufe von Hand: Login, Formulare, Bestellung, Zahlungen, Schnittstellen, Cronjobs.

6. Umstellung mit Rückweg

Lege fest, wann umgestellt wird und wie du im Notfall zurückkommst. Eine aktuelle Sicherung von Code und Datenbank gehört dazu. Bei vielen Hostern lässt sich die PHP-Version pro Website umschalten. Das macht den Rückweg einfach.

7. Hoster einbinden

Frag deinen Hoster früh, welche PHP-Versionen er anbietet und wie lange er PHP 8.2 noch betreibt. Manche Anbieter stellen alte Versionen zu einem festen Datum ab. Andere bieten verlängerten Support gegen Aufpreis an. Das ersetzt keine Migration, kann aber Zeit verschaffen.

Was, wenn die Zeit bis Jahresende nicht reicht?

Dann ist Ehrlichkeit wichtiger als Eile. Ein überhasteter Umstieg ohne Tests kann mehr kaputt machen als eine kurze Verlängerung. Drei Dinge helfen in dieser Lage:

• Priorisieren: Zuerst die Systeme umstellen, die öffentlich erreichbar sind und mit Kundendaten arbeiten.
• Absichern: Bis zur Migration den Zugriff einschränken, eine Web Application Firewall nutzen und die Protokolle im Blick behalten.
• Termin setzen: Einen festen Termin für die Umstellung im ersten Quartal vereinbaren, statt sie offen zu lassen.

Wer neben PHP auch JavaScript-Anwendungen betreibt, steht vor derselben Frage. Dazu passt der Artikel Node.js 20 ist am Ende. Weitere Risiken aus Abhängigkeiten beschreibt der Artikel Supply-Chain-Angriffe über npm und Composer. Und wenn du Software an Kunden auslieferst, lohnt ein Blick auf die Meldepflichten aus dem Cyber Resilience Act.

Wie HR CodeLabs dir hilft

Wir haben schon viele PHP-Anwendungen von alten auf aktuelle Versionen gebracht. Für den Umstieg von PHP 8.1 und 8.2 bieten wir dir vier Leistungen:

• Sicherheits-Check: Wir prüfen deine PHP-Anwendungen und Server auf Lücken und veraltete Versionen und erstellen die Bestandsaufnahme.
• Migration alter Versionen: Wir heben PHP, Framework und Erweiterungen auf aktuelle, unterstützte Versionen, mit Tests auf einem Staging-System.
• Update- & Wartungsservice: Danach spielen wir Updates und Patches laufend ein, damit du nicht wieder in dieselbe Lage kommst.
• Notfallhilfe nach Angriff: Wenn eine Lücke schon ausgenutzt wurde, helfen wir schnell beim Eingrenzen, Aufräumen und Absichern.

Alle Details findest du unter Sicherheit & Wartung. Oder du buchst direkt ein Erstgespräch, und wir schauen gemeinsam auf deine Systeme.