PHP End of Life: Welche PHP-Versionen noch Sicherheitsupdates bekommen

Jede PHP-Version hat ein festes Ablaufdatum, das PHP End of Life. Ab diesem Tag veröffentlicht das PHP-Projekt für diesen Zweig keine Korrekturen mehr, auch nicht bei kritischen Sicherheitslücken. Am 21.10.2026 erhielten nur die Zweige 8.2 bis 8.5 offizielle Sicherheitsupdates. Wer eine Website mit WordPress, TYPO3, Shopware oder eigener PHP-Anwendung betreibt, sollte das Datum seiner Version kennen.

Was bedeutet PHP End of Life?

PHP End of Life bezeichnet den Tag, ab dem das PHP-Projekt einen Zweig nicht mehr pflegt. Danach erscheinen keine neuen Releases, weder für Fehler noch für Sicherheitslücken. Die Software läuft weiter, doch jede danach entdeckte Schwachstelle bleibt im offiziellen Code offen, solange niemand anders sie schließt.

Kurz heißt das PHP EOL, so nennt auch php.net die Liste der abgelaufenen Zweige. Bis dahin durchläuft jeder Zweig laut php.net drei Abschnitte:

• In den ersten zwei Jahren, der aktiven Pflege, behebt das Projekt gemeldete Fehler und Sicherheitslücken und veröffentlicht regelmäßig Punkt-Releases wie 8.4.27.
• In den zwei Jahren danach erscheinen Releases nur bei Bedarf und nur für kritische Sicherheitsprobleme, je nach Lage also mehrere Punkt-Releases oder keines.
• Nach insgesamt vier Jahren folgt das End of Life, und ab diesem Tag gibt es für den Zweig gar keine Releases mehr.

Für die Zweige 8.2 bis 8.5 liegen alle Stichtage auf einem 31. Dezember, und auch PHP 8.1 endete am 31.12.2025. Ältere Zweige endeten an anderen Tagen, PHP 8.0 etwa am 26.11.2023.

Welche PHP-Versionen erhalten Sicherheitsupdates?

Am 21.10.2026 erhalten vier Zweige offizielle Sicherheitsupdates, wobei PHP 8.5 und 8.4 in der aktiven Pflege sind und PHP 8.3 und 8.2 nur Sicherheitskorrekturen bekommen. PHP 8.1 und alle älteren Versionen haben ihr End of Life erreicht. Für PHP 8.2 endet die Versorgung am 31.12.2026.

Stand: 21.10.2026. Quelle: Supported Versions auf php.net.

Das Support-Ende in der Tabelle ist der letzte Tag mit Sicherheitsupdates. PHP 8.5 erschien am 20.11.2025, PHP 8.4 am 21.11.2024, PHP 8.3 am 23.11.2023 und PHP 8.2 am 08.12.2022.

Für PHP 8.4 endet am 31.12.2026 die aktive Pflege, ab dem 01.01.2027 erhält der Zweig bis zum 31.12.2028 nur Sicherheitskorrekturen. Das End of Life von PHP 8.2 fällt auf denselben Tag, den 31.12.2026.

Die folgenden Zweige bekommen keine offiziellen Updates mehr. Stand: 21.10.2026. Quelle: Unsupported Branches auf php.net.

Das End of Life von PHP 8.1 fiel damit auf den 31.12.2025, das letzte Release heißt 8.1.34. PHP 7.4 erreichte sein End of Life am 28.11.2022, seitdem gibt es dafür keine offiziellen Korrekturen.

Was bedeutet das Support-Ende in der Praxis?

Ein Zweig nach dem End of Life erhält keine offiziellen Korrekturen mehr, selbst bei kritischen Lücken. Das zeigte sich am 21.10.2026, als das PHP-Projekt Fix-Releases für zwei kritische Schwachstellen nur für PHP 8.2 bis 8.5 veröffentlichte. Für PHP 8.1 und ältere Zweige erschien kein offizielles Release.

Die beiden Lücken laufen unter dem Namen PHP2Shell. Welche Fix-Versionen es gibt und wie Sie den Server prüfen, steht auf der Seite zur kritischen PHP-Sicherheitslücke PHP2Shell vom Oktober 2026. Ein Server mit PHP 8.1 hatte an diesem Tag keinen offiziellen Weg zu einem Fix.

Am Stichtag selbst schaltet sich nichts ab, die Website läuft weiter und Besucher bemerken keinen Unterschied. Das Risiko wächst schleichend, mit jeder neu entdeckten Lücke im alten Zweig. Dazu kommen Folgen außerhalb von PHP selbst:

• Plugins, Themes und Bibliotheken setzen nach und nach neuere PHP-Versionen voraus, sodass sich ihre eigenen Sicherheitsupdates nicht mehr einspielen lassen.
• Manche Hoster berechnen für alte Versionen einen monatlichen Aufpreis oder stellen sie zu einem festen Termin um.
• Bei einer Umstellung unter Zeitdruck fehlen Tests, und Fehler zeigen sich erst im Live-Betrieb.

Verarbeitet die Website personenbezogene Daten, verlangt Art. 32 DSGVO technische Schutzmaßnahmen unter Berücksichtigung des Stands der Technik. Ob eine Version ohne Sicherheitsupdates damit vereinbar ist, hängt vom Einzelfall ab. Diese Frage gehört in die Abstimmung mit Ihrem Datenschutzbeauftragten.

Wer schließt Lücken nach dem End of Life?

Nach dem End of Life können nur Dritte Korrekturen liefern. Linux-Distributionen pflegen die PHP-Pakete ihrer unterstützten Releases oft weiter und portieren Korrekturen zurück. Manche Hoster und spezialisierte Anbieter bieten verlängerten Support gegen Gebühr. Ob und wie lange das gilt, legt jeder Anbieter selbst fest.

Debian, Ubuntu oder Red Hat übernehmen einen Fix oft in ihr eigenes Paket, statt auf eine neue PHP-Version zu wechseln. Die Versionsnummer bleibt dabei oft gleich, nur der Paketzusatz ändert sich. Die Nummer allein verrät deshalb wenig über den Patch-Stand. Verlässlicher ist der Changelog des Pakets, in dem die geschlossenen CVE-Nummern stehen.

Wie Sie die Versionsnummer zuverlässig auslesen, auch wenn Kommandozeile und Webserver unterschiedliche Versionen nutzen, zeigt der Ratgeber PHP-Version Ihrer Website herausfinden und prüfen.

Verlängerter Support vom Hoster deckt die PHP-Laufzeit ab, nicht aber Ihre Anwendung mit ihren Plugins und Bibliotheken. Er verschafft damit Zeit, ersetzt aber keine Umstellung auf einen unterstützten Zweig. Was beim Wechsel einer gewachsenen Anwendung zu beachten ist, beschreibt die Seite zum PHP-Update mit vorheriger technischer Prüfung.

Was ist vor dem End of Life von PHP 8.2 zu prüfen?

Wer PHP 8.2 nutzt, hat bis zum 31.12.2026 offizielle Sicherheitsupdates. Vorher sollten Betreiber die eingesetzte Version ermitteln, die Anforderungen von CMS, Plugins und Bibliotheken abgleichen und den Wechsel in einer Testumgebung durchspielen. So bleibt Zeit, Fehler ohne Druck zu beheben.

Für die Planung hilft diese Reihenfolge:

1. Ermitteln Sie die Version, mit der der Webserver Ihre Seiten ausliefert. Prüfen Sie auch Staging-Systeme, Cronjobs und Container.
2. Wählen Sie die Zielversion nach der Restlaufzeit, denn PHP 8.4 erhält Sicherheitsupdates bis 31.12.2028 und PHP 8.5 bis 31.12.2029. Ein Wechsel auf PHP 8.3 bringt nur Zeit bis 31.12.2027.
3. Gleichen Sie die Anforderungen von CMS-Kern, Erweiterungen, Composer-Paketen und eigenem Code ab. Das PHP-Handbuch listet für jede Version die inkompatiblen Änderungen.
4. Testen Sie auf einer Kopie der Website mit eingeschaltetem Fehlerprotokoll. Warnungen zu veralteten Funktionen zeigen, wo beim nächsten Wechsel Arbeit wartet.
5. Stellen Sie das Live-System um, behalten Sie einen Rückweg und beobachten Sie die Logs in den ersten Tagen.

Laut den Anforderungen auf wordpress.org sollte der Hoster für WordPress PHP 8.3 oder neuer bereitstellen. WordPress läuft zwar ab PHP 7.4, die Seite weist für solche Versionen aber selbst auf das erreichte End of Life hin. Für TYPO3, Shopware oder eine eigene Anwendung gelten die Systemanforderungen der jeweiligen Version.

Steht ohnehin ein Relaunch an, gehört die PHP-Zielversion in die technischen Anforderungen an das neue Webdesign für Unternehmenswebsites. So startet die neue Seite mit der längsten verfügbaren Restlaufzeit.

Häufige Fragen zum Support-Ende von PHP

Welche PHP-Version ist aktuell?

Am 21.10.2026 ist PHP 8.5 die neueste Version. Sie erschien am 20.11.2025, erhält aktive Pflege bis 31.12.2027 und Sicherheitsupdates bis 31.12.2029. PHP 8.4 ist ebenfalls in der aktiven Pflege, PHP 8.3 und 8.2 erhalten nur Sicherheitskorrekturen.

Ist PHP 7.4 noch sicher?

PHP 7.4 hat am 28.11.2022 sein End of Life erreicht, das letzte Release ist 7.4.33. Seitdem schließt das PHP-Projekt in diesem Zweig keine Lücken mehr. Ohne einen Anbieter, der Korrekturen zurückportiert, bleiben neu entdeckte Schwachstellen offen.

Läuft meine Website nach dem End of Life weiter?

Ja, am Stichtag ändert sich technisch nichts, PHP arbeitet weiter und nur neue Korrekturen bleiben aus. Abschalten kann höchstens der Hoster, wenn er alte Versionen aus seinem Angebot nimmt. Prüfen Sie deshalb die Ankündigungen Ihres Hosters zu Fristen und Aufpreisen.

Woran erkenne ich, ob mein Hoster noch patcht?

Fragen Sie den Hoster, bis wann er Ihre PHP-Version mit Sicherheitskorrekturen versorgt und woher die Korrekturen stammen. Vergleichen Sie bei unterstützten Zweigen den Patch-Stand mit dem neuesten Release auf php.net. Bei Paketen einer Linux-Distribution zeigt der Changelog die geschlossenen CVE-Nummern.

Wie oft sollte ich die PHP-Version prüfen?

Mindestens einmal im Jahr, zum Beispiel im Herbst vor den Stichtagen zum 31. Dezember. Zusätzlich lohnt ein Blick nach jeder Warnung zu einer kritischen PHP-Lücke. Dann zeigt sich schnell, ob Ihr Zweig ein Fix-Release bekommt oder bereits außerhalb der Versorgung liegt.