PHP End of Life: Welche Versionen noch Sicherheitsupdates bekommen

Was bedeutet End of Life bei PHP?

End of Life heisst: Für diese PHP-Version erscheinen keine Korrekturen mehr, auch nicht für Sicherheitslücken. Die Version funktioniert weiter, aber jede neu entdeckte Schwachstelle bleibt offen. Laut php.net bekommt jede PHP-Version zwei Jahre aktiven Support mit Fehler- und Sicherheitskorrekturen und danach zwei Jahre ausschliesslich Sicherheitsupdates. Das Ende fällt jeweils auf den 31. Dezember.

Wie verbreitet sind veraltete PHP-Versionen?

PHP ist laut W3Techs auf 69,8 Prozent aller Websites im Einsatz, deren serverseitige Sprache bekannt ist (Stand 29. September 2026). Davon laufen 64,3 Prozent auf PHP 8, 27,8 Prozent auf PHP 7, 7,8 Prozent auf PHP 5 und 0,1 Prozent auf PHP 4. Mehr als ein Drittel der PHP-Websites läuft also auf PHP 7 oder älter und damit auf Versionen ohne Sicherheitsupdates. Dazu kommen PHP 8.0 und 8.1, die ebenfalls keinen Support mehr haben.

Was passiert, wenn der Hoster die PHP-Version abstellt?

Hoster bieten veraltete Versionen meist noch eine Weile an und stellen sie dann ab. Hostpoint schreibt zum Beispiel: «In der Regel sind PHP-Versionen bei Hostpoint bis zu einem Jahr nach EOL (End of Life) verfügbar und werden danach deaktiviert.» Wer bis dahin keine Version gewählt hat, läuft automatisch mit der neuen Standardversion des Hosters. Für eine Anwendung, die dafür nicht vorbereitet ist, heisst das im schlimmsten Fall: Fehlermeldungen oder eine weisse Seite, von einem Tag auf den anderen.

Was solltest du bis zum Supportende tun?

1. Version herausfinden. Im Hosting-Panel, in der composer.json unter require.php oder mit phpinfo() auf einer geschützten Seite.
2. Framework und CMS prüfen. Welche PHP-Versionen unterstützt die eingesetzte Version von Laravel, Symfony, TYPO3, Drupal oder Shopware? Oft muss das Framework mit aktualisiert werden.
3. Kompatibilität des eigenen Codes prüfen. Werkzeuge wie PHPCompatibility und Rector finden entfernte Funktionen und veraltete Konstrukte.
4. Testumgebung aufsetzen. Die Anwendung mit der neuen PHP-Version testen, bevor sie live umgestellt wird.
5. Schrittweise aktualisieren. Grosse Sprünge wie von 7.4 auf 8.4 lassen sich in Etappen besser kontrollieren.
6. Nach der Umstellung beobachten. Fehlerlogs in den ersten Tagen genau verfolgen, weil manche Probleme nur in seltenen Abläufen auftreten.

Typische Stolpersteine beim PHP-Upgrade

Upgrade	Typische Probleme
PHP 5.6 auf 7.0	Die alten mysql_*-Funktionen sind entfernt, Datenbankzugriffe müssen auf mysqli oder PDO umgestellt werden
PHP 7.x auf 8.0	Entfernte Funktionen wie each() und create_function(), strengere Typprüfung bei internen Funktionen, viele Hinweise werden zu Fehlern
PHP 8.1 und 8.2	null an nicht-nullbare Parameter interner Funktionen ist veraltet, dynamische Eigenschaften sind ab 8.2 veraltet
PHP 8.4	Implizit nullbare Parametertypen sind veraltet und müssen explizit deklariert werden

Veraltete Funktionen («deprecated») funktionieren zunächst weiter, erzeugen aber Warnungen und fallen in einer späteren Hauptversion weg. Wer sie jetzt behebt, macht das nächste Upgrade einfacher.

Was, wenn die Anwendung niemand mehr kennt?

Ein PHP-Upgrade ist Routine, wenn jemand die Anwendung kennt. Schwierig wird es, wenn der ursprüngliche Entwickler weg ist und niemand weiss, welche Teile an der alten Version hängen. Genau dafür gibt es das Übernahme-Assessment: Es zeigt, welche PHP-Version läuft, was ein Upgrade braucht und wie dringend es ist.