PHP 8.2 End of Life am 31. Dezember 2026: Was Unternehmer jetzt tun müssen

PHP 8.2 end of life ist am 31. Dezember 2026. Läuft Ihre Website, Ihr Shop oder ein internes System auf PHP 8.2, ist das der Tag, an dem die Pflegeteam der Sprache aufhört, Sicherheitsfixes dafür zu veröffentlichen. Weniger als elf Wochen trennen uns heute von dieser Frist, was für alles, was ein Entwicklerteam, einen Hosting-Anbieter und ein Produktivsystem betrifft, das Sie sich nicht leisten können auszufallen, sehr kurzfristig ist.

Dieser Text richtet sich an die Person, der das Unternehmen gehört, nicht an die Person, die den Code schreibt. Vielleicht wissen Sie nicht viel mehr über PHP, als dass es „das, worauf unsere Website läuft" ist. Das ist in Ordnung. Entscheidend ist, was nach dem 31. Dezember passiert, was nötig ist, um das zu vermeiden, und welche Optionen Sie haben, falls die Frist erreicht wird, bevor die Arbeit abgeschlossen ist.

Was End of Life für Ihr Unternehmen tatsächlich bedeutet

PHP ist die Programmiersprache hinter einem großen Teil des Webs, darunter WordPress, viele individuelle E-Commerce-Plattformen und unzählige interne Geschäftstools, die in den letzten zwei Jahrzehnten entstanden sind. Jede PHP-Version erhält ein festes Support-Fenster. Für etwa die ersten zwei Jahre nach Veröffentlichung behebt das PHP-Projekt Fehler und Sicherheitslücken. Danach wechselt es für weitere zwei Jahre auf reine Sicherheitsfixes. Sobald dieses zweite Fenster schließt, endet der Support vollständig. Keine Patches mehr, aus keinem Grund, nie wieder.

PHP 8.2 wurde im Dezember 2022 veröffentlicht. Die aktive Entwicklungsphase endete im Dezember 2024, seitdem befindet sich die Version im reinen Sicherheitsmodus. Am 31. Dezember 2026 endet auch das.

Das müssen Sie nicht einfach glauben. PHP 8.1 hat diese Grenze bereits am 31. Dezember 2025 überschritten. Jedes Unternehmen, das heute noch 8.1 einsetzt, betreibt eine PHP-Version, die für keine ab diesem Datum entdeckte Schwachstelle mehr irgendeinen Fix erhält. Genau in dieser Position werden Nutzer von PHP 8.2 am 1. Januar 2027 sein, und es lohnt sich, das zu verstehen, bevor man dort ankommt, statt danach.

Eine neu entdeckte Sicherheitslücke in einer nicht mehr unterstützten PHP-Version wird von den Verantwortlichen der Sprache niemals behoben. Ihr Hosting-Anbieter kann sie nicht für Sie patchen, weil der Patch schlicht nicht existiert. Die Lücke bleibt bestehen, dokumentiert in öffentlichen Schwachstellen-Datenbanken für jeden auffindbar, solange Ihr System diese Version weiter betreibt. Angreifer müssen nicht besonders raffiniert sein, um eine bekannte, veröffentlichte Schwachstelle ohne verfügbaren Fix auszunutzen. Viele setzen automatisierte Scans ein, die genau danach suchen.

Der Betrieb nicht mehr unterstützter Software macht sich auch bei einer Cyber-Versicherungsschadenmeldung, einem Compliance-Audit oder dem Sicherheitsfragebogen eines Kunden schlecht. „Wir haben eine Version ohne Sicherheitssupport eingesetzt" ist kein Satz, den jemand nach einem Vorfall gegenüber seinem Versicherer aussprechen möchte.

Wie Sie herausfinden, was Sie tatsächlich einsetzen

Bevor Sie irgendetwas planen können, müssen Sie wissen, welche PHP-Version Ihre Website oder Anwendung aktuell nutzt. Ein paar Wege, um das herauszufinden, ohne selbst Code anzufassen:

Fragen Sie direkt bei Ihrem Hosting-Anbieter nach. Die meisten Hosting-Kontrollpanels (cPanel, Plesk, das Dashboard eines Managed-WordPress-Hosters) zeigen die PHP-Version irgendwo in den Konto- oder Servereinstellungen an, und der Support kann Ihnen das meist innerhalb wenigen Minuten per E-Mail oder Chat beantworten.

Fragen Sie, wer Ihre Website gebaut hat oder betreut. Haben Sie einen Entwickler, eine Agentur oder einen Freelancer auf Abruf, ist das für sie eine Ein-Satz-Frage: „Welche PHP-Version läuft bei uns, und wann erreicht sie End of Life?" Kann diese Person nicht schnell antworten, sagt das selbst schon etwas darüber aus, wie eng das System aktuell betreut wird.

Prüfen Sie es selbst, wenn Sie WordPress nutzen. Unter Werkzeuge, dann Website-Zustand, dann der Reiter Info finden Sie einen Server-Bereich, der die PHP-Version im Klartext anzeigt. Kein Code nötig.

Steht Ihnen nichts davon zur Verfügung, reicht ein kurzes Gespräch mit einem unabhängigen Entwickler, der sich den Server ansieht und Rückmeldung gibt, meist weniger Zeit als man denkt, und es verpflichtet Sie zu nichts außer dieser Antwort.

Was ein realistisches Upgrade tatsächlich bedeutet

Die ehrliche Antwort ist: Es hängt von Ihrer Codebasis ab, und wer Ihnen eine Zahl nennt, bevor er Ihren tatsächlichen Code gesehen hat, rät nur. Trotzdem beeinflussen ein paar Dinge zuverlässig den Umfang der Arbeit: wie alt die Anwendung ist, ob sie von Drittanbieter-Plugins oder Bibliotheken abhängt, die selbst aktualisiert werden müssen, wie viel individueller Code speziell für Ihr Unternehmen geschrieben wurde, und ob es eine automatisierte Testsuite gibt, die bestätigen kann, dass nichts kaputtgegangen ist.

Eine kleine WordPress-Website auf Basis aktueller, gut gepflegter Plugins lässt sich manchmal in ein bis zwei Tagen Testaufwand auf eine neuere PHP-Version umziehen. Eine große individuelle Anwendung, die über zehn oder fünfzehn Jahre von mehreren längst nicht mehr involvierten Entwicklern aufgebaut wurde, ist ein völlig anderes Projekt und kann durchaus mehrere Wochen sorgfältiger Arbeit beanspruchen. Wir haben eine ausführliche technische Schritt-für-Schritt-Anleitung für diesen Upgrade-Pfad geschrieben, für alle, die das technische Detail wollen; die Kurzfassung für Unternehmer lautet: Ein kompetentes Team testet das Upgrade zuerst auf einer Kopie Ihrer Website, prüft, dass alles Wichtige weiterhin funktioniert, und spielt es erst danach auf das Livesystem.

Eine Entscheidung lohnt sich früh: ob Sie zu PHP 8.3 oder PHP 8.4 wechseln, statt bei einer Version zu bleiben, die selbst kurz vor ihrem eigenen End of Life steht. PHP 8.3 wird bis Dezember 2027 unterstützt, PHP 8.4 bis Dezember 2028. Der direkte Sprung zu einer dieser Versionen verschafft bei vergleichbarem Aufwand deutlich mehr Vorlaufzeit, was meist der bessere Tausch ist.

Wenn Sie es nicht bis zum 31. Dezember schaffen

Manchmal lautet die ehrliche Antwort, dass die Arbeit nicht rechtzeitig fertig wird, sei es, weil erst ein Entwickler gefunden werden muss, die Anwendung größer ist als erwartet, oder Budget noch genehmigt werden muss. Befinden Sie sich in dieser Lage, haben Sie trotzdem Optionen, und keine davon ist „nichts tun und hoffen".

Sprechen Sie mit Ihrem Hosting-Anbieter über verlängerten oder kostenpflichtigen Sicherheitssupport. Mehrere große Hosting-Unternehmen und spezialisierte Anbieter verkaufen fortlaufende Sicherheitspatches für End-of-Life-PHP-Versionen, erstellt aus derselben Quelle, die das Open-Source-Projekt früher kostenlos veröffentlicht hat. Das kostet Geld und ist als Brücke gedacht, nicht als Dauerlösung, hält aber bekannte Schwachstellen ungepatcht fern, während das eigentliche Upgrade terminiert wird.

Reduzieren Sie in der Zwischenzeit die Angriffsfläche. Eine Web Application Firewall, strengere serverseitige Einschränkungen und die Sicherstellung, dass Admin-Bereiche nicht aus dem offenen Internet erreichbar sind, verringern alle die Wahrscheinlichkeit, dass eine bekannte Schwachstelle in Ihrer PHP-Version gefunden und gegen Sie verwendet wird, bevor das Upgrade kommt.

Legen Sie ein festes Datum fest, keine vage Absicht. „Wir kümmern uns bald darum" ist der Weg, auf dem Unternehmen jahrelang nicht unterstützte Software betreiben. Ein festes Startdatum für das Upgrade-Projekt, selbst wenn es noch ein paar Wochen entfernt ist, macht daraus eine geplante Aufgabe mit Verantwortlichem statt ein schwelendes Risiko.

Wo Sie diese Woche ansetzen sollten

Wenn Sie nur eines aus diesem Text mitnehmen: Finden Sie diese Woche heraus, welche PHP-Version Sie aktuell einsetzen, und wie lange ein Upgrade für Ihr spezifisches System tatsächlich dauert, bevor der 31. Dezember erreicht ist und die Entscheidung für Sie getroffen wird. Ein kurzes Code- und Tech-Stack-Review oder ein fokussiertes Legacy-System-Upgrade kann beide Fragen meist innerhalb wenigen Tagen beantworten.

Wenn Sie eine zweite Meinung dazu wünschen, wo Ihre Systeme stehen, oder Unterstützung, um das Upgrade vor der Frist abzuschließen, melden Sie sich unter hello@wolf-tech.io oder besuchen Sie wolf-tech.io. Wir haben zahlreiche PHP-Anwendungen genau durch diesen Übergang geführt, und diejenigen, die reibungslos verlaufen, sind fast immer die, die begonnen haben, bevor die Frist dringlich wurde.