PHP 8.2 Support-Ende am 31. Dezember 2026: Update, Aufpreis oder Neubau?

PHP 8.2 bekommt vom PHP-Projekt Sicherheitsupdates nur bis einschließlich 31. Dezember 2026 [1] [2]. Für eine Website auf PHP 8.2 gibt es drei Wege: ein Update auf PHP 8.3, 8.4 oder 8.5, die länger Sicherheitsupdates bekommen [1]; einen kostenpflichtigen verlängerten Support (Extended Support), den manche Hoster anbieten und der Zeit verschafft, aber kein Update ersetzt [3] [4] [5]; oder einen Neuaufbau ohne PHP. Als ersten Schritt prüfen Sie, welche PHP-Version Ihre Website nutzt, und fragen Ihren Hoster, was er für Ihr Paket nach dem 31. Dezember 2026 vorsieht.

Das PHP-Projekt pflegt jeden Zweig, etwa PHP 8.2 mit allen Versionen 8.2.x, zuerst mit Fehlerkorrekturen und danach eine Zeit lang nur noch mit Sicherheitsupdates [1]. Für PHP 8.2 endete die aktive Pflege mit Fehlerkorrekturen am 31.12.2024; Sicherheitsupdates gibt es bis einschließlich 31.12.2026 [1]. Nach diesem Tag liefert das PHP-Projekt für PHP 8.2 keine Sicherheitsupdates mehr [2] [6].

Sicherheitsupdates des PHP-Projekts je Zweig, laut php.net (Stand 23.10.2026) [1] [6]:

• PHP 8.5: bis einschließlich 31.12.2029
• PHP 8.4: bis einschließlich 31.12.2028
• PHP 8.3: bis einschließlich 31.12.2027
• PHP 8.2: bis einschließlich 31.12.2026
• PHP 8.1: bis einschließlich 31.12.2025
• PHP 8.0: bis einschließlich 26.11.2023
• PHP 7.4: bis einschließlich 28.11.2022

Zweige, die älter sind als PHP 7.4, bekommen ebenfalls keine Sicherheitsupdates mehr [6].

Was ein Zweig ohne Sicherheitsupdates bedeutet, hat der 21. Oktober 2026 gezeigt. An diesem Tag hat das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht, die als „PHP2Shell“ bekannt wurden [7]. Korrigierte Versionen gab es nur für die Zweige mit Sicherheitsupdates: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 [7]. PHP 8.1 und älter bekommen vom PHP-Projekt keine offiziellen Updates mehr; für 7.4, 8.0 und 8.1 hat das Sicherheitsteam nur Korrekturen im Quellcode bereitgestellt, keine neuen Versionen [7].

Sicherheitsfirmen haben Angriffsversuche beobachtet [8] [9]. Erfolgreiche Angriffe in der Breite waren dem BSI am 22.10.2026 nicht bekannt [10]. Das BSI schreibt in seinem Sicherheitshinweis zu PHP, „Kritische Schwachstellen bedrohen Webanwendungen weltweit“ (Version 1.2 vom 22.10.2026), dass alle PHP-Versionen vor 8.2 ihr Supportende bereits erreicht haben und auch PHP 8.2 nur noch bis zum Jahresende 2026 mit Sicherheitsupdates unterstützt wird [11].

Wird nach dem 31. Dezember 2026 eine Lücke in PHP bekannt, veröffentlicht das PHP-Projekt dafür keine neue Version von PHP 8.2 mehr [2]. Korrekturen für PHP 8.2 kann es dann nur noch von anderen geben, etwa in Paketen von Linux-Distributionen oder im Extended Support eines Hosters [7] [3] [4] [5].

Rund 58 % der WordPress-Websites liefen am 23.10.2026 auf PHP 8.2 oder älter, rund 35 % auf Versionen, für die das PHP-Projekt keine Sicherheitsupdates mehr liefert [12] [6]. WordPress selbst empfiehlt PHP 8.3 oder neuer [13].

Die PHP-Version ändert sich nicht mit einem Update von WordPress, Plugins oder Theme: PHP läuft auf dem Server, und welche Version eine Website nutzt, stellt der Hoster oder der Betreiber des Servers ein. Bei den Lücken vom Oktober 2026 reichte ein Update der Anwendung laut BSI deshalb nicht; die PHP-Version auf dem Server musste aktualisiert werden [11] [14].

Was mit PHP 8.2 auf Ihrem Paket passiert, entscheidet Ihr Hoster. Manche stellen auf eine neuere Version um, andere verlangen für ältere Versionen eine monatliche Gebühr für verlängerten Support, meist Extended Support genannt. Die Übersicht gibt wieder, was vier Hoster auf ihren eigenen Seiten schreiben, jeweils mit dem Tag des Abrufs. Sie ist weder vollständig noch eine Bewertung.

• Host Europe (Classic Hosting): Domains mit PHP 8.2 laut Host Europe am 09.11.2026 auf PHP 8.4 umgestellt; zurückstellen lässt sich die Version nur bis zur endgültigen Abschaltung von PHP 8.2 am 07.12.2026; einen kostenpflichtigen Weiterbetrieb nennt die Seite nicht (Stand 23.10.2026) [15]
• IONOS: PHP Extended Support für PHP 8.1 laut IONOS-Preisseite 7,81 € pro Monat inkl. MwSt.; für PHP 8.2 nennt die Seite keinen Preis (Stand 23.10.2026) [3]
• mittwald: PHP Extended Support für PHP 8.1 und älter laut mittwald 5 € in Phase 1 (Sicherheitsupdates und Fehlerkorrekturen) oder 15 € in Phase 2 (die Version bleibt bereitgestellt, Updates sagt mittwald nicht mehr zu), jeweils pro PHP-Version, Projekt und Monat zzgl. USt.; automatisch berechnet, wenn eine veraltete PHP-Version im Einsatz ist; PHP 8.2 nennt die Seite dabei nicht ausdrücklich (Stand 23.10.2026) [4]
• STRATO: PHP Extended Support laut STRATO kostenpflichtig, einen Betrag nennt die Seite nicht; für neuere Versionen beginnt er laut STRATO „zeitnah zum Ende des Supports durch die PHP-Community“; STRATO empfiehlt mindestens PHP 8.4 (Stand 23.10.2026) [5]

Zu den Lücken vom 21. Oktober 2026 meldeten IONOS, STRATO, Hetzner und netcup am 21. und 22. Oktober 2026, die Updates auf ihren Webhosting-Systemen eingespielt zu haben [16] [17] [18] [19]. Das gilt für die Systeme, die die Hoster selbst betreiben; auf einem eigenen Server, etwa einem VPS oder Root-Server, spielen Sie oder Ihr Administrator Updates selbst ein [16] [17] [19].

Fragen Sie Ihren Hoster, was er für Ihr Paket nach dem 31. Dezember 2026 vorsieht und ob dabei Kosten entstehen.

• In WordPress: unter Werkzeuge > Website-Zustand; die PHP-Version steht im Reiter Bericht im Abschnitt Server.
• Beim Hoster: im Kundenmenü bei den Einstellungen Ihres Pakets oder Ihrer Domain.
• Von außen: Der kostenlose Sofort-Check von Coday ruft Ihre Startseite einmal ab und zeigt, ob sie eine PHP-Version öffentlich nennt.

Viele Seiten nennen keine Version, und eine sichtbare Nummer ist noch kein Befund: Behoben sind Lücken auch in Paketen, in die eine Linux-Distribution oder ein Anbieter mit Langzeit-Support die Korrekturen eingespielt hat, und dann sagt die Nummer allein wenig [7]. Welcher Stand auf Ihrem Paket läuft, weiß Ihr Hoster.

Für eine Website auf PHP 8.2 gibt es drei Wege. Welcher passt, hängt davon ab, wie gut Theme und Plugins gepflegt sind, ob die Seite ohnehin erneuert werden soll und was Ihr Hoster anbietet.

Der übliche Weg ist ein Update auf einen Zweig, der länger Sicherheitsupdates bekommt: PHP 8.3 bis einschließlich 31.12.2027, PHP 8.4 bis einschließlich 31.12.2028 und PHP 8.5 bis einschließlich 31.12.2029 [1]. WordPress empfiehlt PHP 8.3 oder neuer [13], STRATO mindestens PHP 8.4 [5]. Je neuer der Zweig, desto länger reicht das Update; entscheidend ist, dass Theme und Plugins die Version vertragen. Wie Sie dabei vorgehen, steht unten im Abschnitt „Was beim PHP-Update schiefgehen kann“.

Extended Support ist ein verlängerter Support, den manche Hoster gegen eine monatliche Gebühr für Versionen anbieten, für die das PHP-Projekt keine Sicherheitsupdates mehr liefert [3] [4] [5]. Was einzelne Hoster verlangen, steht in der Übersicht oben. Extended Support verschafft Zeit, ersetzt aber kein Update: Bei mittwald etwa folgt auf eine erste Phase mit Sicherheitsupdates eine zweite, in der mittwald keine Updates mehr zusagt [4], und WordPress empfiehlt weiter PHP 8.3 oder neuer [13]. Planen Sie das Update deshalb auch dann, wenn Sie Extended Support buchen.

Ein Neuaufbau ohne PHP lohnt sich vor allem, wenn die Website ohnehin erneuert werden soll oder Theme und Plugins keine aktuelle PHP-Version vertragen. Gebaut wird die neue Seite mit Next.js oder mit schlichtem HTML, CSS und JavaScript ohne Framework. Das zählt auch bei Lücken in PHP selbst wie PHP2Shell. Eine Seite ohne PHP-Code, die bei einem Anbieter ohne PHP liegt, führt den Code dieser Lücken nicht aus. Alte PHP-Installationen im selben Paket entferne ich beim Umzug. Das macht eine Website nicht unangreifbar, denn das tut nichts: Auch Next.js braucht Updates: Am 3. Dezember 2025 hat das React-Team eine kritische Lücke in React Server Components veröffentlicht (CVE-2025-55182), die auch Next.js betraf [20].

Wie ein Neuaufbau mit Coday abläuft, steht auf der Seite zum Website-Relaunch.

Beim Wechsel der PHP-Version bleibt der Code von Theme und Plugins, wie er ist. Ist ein Plugin oder das Theme nicht für die neue Version geschrieben, kann die Seite Fehlermeldungen zeigen, einzelne Funktionen wie ein Formular oder der Shop können ausfallen, oder die Seite bleibt leer. Das lässt sich vorher prüfen, ohne dass Besucher etwas davon merken. Wo der Hoster selbst umstellt, wie Host Europe im Classic Hosting [15], gehört der Test vor den Tag der Umstellung.

Coday ist ein Ein-Personen-Betrieb aus Wetzlar, und ich, Umutcan Emre Tezgel, mache die Arbeit selbst. Ich prüfe, welche PHP-Version Ihre Seite nutzt und ob Theme und Plugins eine neuere vertragen, stimme das Update mit Ihrem Hoster ab und teste es vorher auf einer Kopie der Seite. Festpreis und Starttermin nenne ich nach dem Check, bevor ich anfange. Ihr Hosting bleibt bei Ihrem Hoster.

Soll die Seite danach laufend betreut werden, übernehme ich die WordPress-Wartung: Updates von WordPress, Plugins und Theme, die PHP-Version beim Hoster auf unterstütztem Stand und eine Sicherung vor jedem Update, zum Monatspreis nach kostenlosem Check. Für einen Neuaufbau ohne PHP steht der Festpreis im Angebot, bevor die Arbeit beginnt. Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.

Läuft meine Website nach dem 31. Dezember 2026 mit PHP 8.2 einfach weiter?

Technisch ja, solange Ihr Hoster PHP 8.2 anbietet. Das PHP-Projekt liefert für PHP 8.2 nach dem 31. Dezember 2026 aber keine Sicherheitsupdates mehr. Manche Hoster stellen Seiten auf eine neuere Version um, Host Europe etwa im Classic Hosting auf PHP 8.4, andere bieten gegen eine monatliche Gebühr einen verlängerten Support an. Fragen Sie Ihren Hoster, was er für Ihr Paket vorsieht.

Auf welche PHP-Version sollte ich wechseln?

Auf einen Zweig, der möglichst lange Sicherheitsupdates bekommt und den Ihr Theme und Ihre Plugins vertragen. WordPress empfiehlt PHP 8.3 oder neuer. PHP 8.4 bekommt Sicherheitsupdates bis einschließlich 31. Dezember 2028, PHP 8.5 bis einschließlich 31. Dezember 2029. Testen Sie die neue Version vorher auf einer Kopie der Website.

Was ist PHP Extended Support beim Hoster?

Ein verlängerter Support, den manche Hoster gegen eine monatliche Gebühr für PHP-Versionen anbieten, für die das PHP-Projekt keine Sicherheitsupdates mehr liefert. Was er kostet und ab wann er gilt, legt jeder Hoster selbst fest. Er verschafft Zeit für das Update, ersetzt es aber nicht.

Kann ich die PHP-Version selbst umstellen?

Bei einem Webhosting-Paket stellen Sie die PHP-Version im Kundenmenü Ihres Hosters ein, auf einem eigenen Server übernimmt das der Administrator. Legen Sie vorher eine Sicherung an, bringen Sie WordPress, Plugins und Theme auf den neuesten Stand und testen Sie die neue Version zuerst auf einer Kopie der Website. Ein Update von WordPress allein ändert die PHP-Version nicht.

Hilft Coday beim Wechsel auf eine neuere PHP-Version?

Ja. Ich prüfe kostenlos, welche PHP-Version Ihre Website nutzt und ob Theme und Plugins eine neuere vertragen, stimme das Update mit Ihrem Hoster ab und teste es vorher auf einer Kopie der Seite. Festpreis und Starttermin nenne ich nach dem Check, bevor ich anfange. Das Angebot richtet sich an Betriebe, Vereine und Selbstständige.

Die Zahlen in eckigen Klammern im Text verweisen auf diese Quellen.

• [1] PHP-Projekt, Supported Versions (öffnet in neuem Tab) (abgerufen am 23.10.2026)
• [2] PHP-Projekt, PHP 8.2.35 Released! (öffnet in neuem Tab) (veröffentlicht am 21.10.2026, abgerufen am 23.10.2026)
• [3] IONOS, PHP Extended Support (öffnet in neuem Tab) (abgerufen am 23.10.2026)
• [4] mittwald, PHP Extended Support (öffnet in neuem Tab) (abgerufen am 23.10.2026)
• [5] STRATO, Was ist der STRATO PHP Extended Support? (öffnet in neuem Tab) (abgerufen am 23.10.2026)
• [6] PHP-Projekt, Unsupported Branches (öffnet in neuem Tab) (abgerufen am 23.10.2026)
• [7] PHP-Projekt, Security advisory: Critical remote code execution vulnerabilities, update now (öffnet in neuem Tab) (veröffentlicht am 21.10.2026, abgerufen am 23.10.2026)
• [8] Cloudflare, Cloudflare deploys protections against php2shell vulnerability (öffnet in neuem Tab) (veröffentlicht am 21.10.2026, abgerufen am 23.10.2026)
• [9] watchTowr, PHP2Shell FAQ: CVE-2026-109618 & CVE-2026-109619 Fixes (öffnet in neuem Tab) (veröffentlicht am 20.10.2026, abgerufen am 23.10.2026)
• [10] Bundesamt für Sicherheit in der Informationstechnik (BSI), Version 1.2: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweit (öffnet in neuem Tab) (veröffentlicht am 22.10.2026, abgerufen am 23.10.2026)
• [11] Bundesamt für Sicherheit in der Informationstechnik (BSI), PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit (öffnet in neuem Tab) (veröffentlicht am 22.10.2026, abgerufen am 23.10.2026)
• [12] WordPress.org, Statistik der PHP-Versionen (Schnittstelle stats/php/1.0, Stand 23.10.2026) (öffnet in neuem Tab) (abgerufen am 23.10.2026)
• [13] WordPress.org, Requirements (öffnet in neuem Tab) (abgerufen am 23.10.2026)
• [14] WordPress Deutschland, Kritisches PHP-Sicherheitsupdate (öffnet in neuem Tab) (veröffentlicht am 21.10.2026, abgerufen am 23.10.2026)
• [15] Host Europe, Informationen zur Deaktivierung der PHP Version 8.2 (Classic Hosting) (öffnet in neuem Tab) (abgerufen am 23.10.2026)
• [16] IONOS, PHP-Sicherheitslücke: Websites bei IONOS sind geschützt (öffnet in neuem Tab) (veröffentlicht am 22.10.2026, abgerufen am 23.10.2026)
• [17] STRATO, PHP-Sicherheitslücken: Websites und Hosting bei STRATO sind geschützt (öffnet in neuem Tab) (veröffentlicht am 22.10.2026, abgerufen am 23.10.2026)
• [18] Hetzner, PHP Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (öffnet in neuem Tab) (veröffentlicht am 21.10.2026, abgerufen am 23.10.2026)
• [19] netcup, Wichtiger Sicherheitshinweis: Unsere Systeme sind vorübergehend nicht erreichbar (öffnet in neuem Tab) (veröffentlicht am 21.10.2026, abgerufen am 23.10.2026)
• [20] React-Team, Critical Security Vulnerability in React Server Components (öffnet in neuem Tab) (veröffentlicht am 03.12.2025, abgerufen am 23.10.2026)