PHP 8.2: Sicherheitsupdates enden am 31.12.2026

Im Herbst habe ich mir eine Liste gebaut: alle TYPO3-Websites, die wir betreuen, mit TYPO3-Version und PHP-Version daneben. Von 55 Projekten, die wir betreiben, liefen 17 noch auf PHP 8.2, neun davon auf TYPO3 v11. Das sind fast alles Installationen, die vor zwei, drei Jahren aufgesetzt wurden und seither ohne Zwischenfälle laufen. Genau deshalb denkt dort niemand an PHP.

Am 31. Dezember 2026 bekommt PHP 8.2 aber die letzten Sicherheitsupdates  (externer Link). Danach bleiben neue Lücken in PHP selbst offen, egal wie aktuell TYPO3 oder die Erweiterungen sind. Für viele dieser Websites ist das der eigentliche Anlass für ein Update, auch wenn sich an der Website selbst nichts ändern soll.

PHP ist der Motor unter TYPO3. Besucherinnen und Besucher sehen ihn nie, und solange er läuft, fragt niemand nach ihm. Trotzdem hängt alles an ihm: Jede TYPO3-Version läuft nur mit bestimmten PHP-Versionen, und jede PHP-Version bekommt nur eine begrenzte Zeit Sicherheitsupdates. Wer eine der beiden Seiten aus dem Blick verliert, steht irgendwann mit einer Kombination da, die niemand mehr pflegt.

Bei den meisten Websites auf unserer Liste war die Lösung einfach. TYPO3 v12 läuft mit PHP 8.4, das bis Ende 2028 Sicherheitsupdates bekommt, TYPO3 v13 und v14 vertragen bereits PHP 8.5. Schwieriger war es bei den Websites auf TYPO3 v11. Dort ist bei PHP 8.3 Schluss, und TYPO3 selbst bekommt nur noch über ELTS Updates. Hier lohnt es sich, den PHP-Wechsel gleich mit einem TYPO3-Upgrade zu verbinden, statt zweimal Hand anzulegen.

TYPO3 und PHP vertragen sich in den passenden Kombinationen zuverlässig. Kritisch sind die Erweiterungen. Eine Extension, die nicht für die neue PHP-Version freigegeben ist, kann nach dem Wechsel Fehler werfen, im schlimmsten Fall nur auf einzelnen Seiten und erst Tage später, wenn jemand genau dieses eine Formular abschickt. Besonders oft fallen eigene Erweiterungen aus früheren Projekten auf, die damals niemand für die übernächste PHP-Version geschrieben hat.

Deshalb fangen wir nie beim Server an, sondern beim Code. Wir prüfen jede installierte Erweiterung gegen die Ziel-Version, lassen automatische Prüfwerkzeuge über den eigenen Code laufen und sehen uns die Stellen an, die sie melden. Meist sind es Kleinigkeiten, etwa veraltete Funktionsaufrufe oder strengere Typprüfungen, die sich schnell beheben lassen. Manchmal ist es eine Erweiterung ohne Nachfolger, und dann ist es gut, das im Oktober zu wissen und nicht am 2. Jänner.

Die eigentliche Umstellung ist dann unspektakulär, und genau so soll sie sein. Wir bauen die Website mit der neuen PHP-Version auf einer Kopie auf, testen die wichtigsten Seiten, Formulare und Schnittstellen und schalten im nächsten Wartungsfenster um. Bei den Websites, die wir in Containern betreiben, ist der Wechsel eine Änderung in der Konfiguration und lässt sich bei Bedarf in Minuten zurücknehmen.

Vier der 17 Projekte ziehen ohnehin gerade auf TYPO3 v14 um und laufen danach auf PHP 8.5. Die übrigen 13 stellen wir in den nächsten Monaten um.

Wenn Sie nicht wissen, mit welcher PHP-Version Ihre Website läuft, finden Sie es im TYPO3-Backend unter den Systeminformationen, oder Sie fragen Ihre Agentur. Läuft dort PHP 8.2, bleiben bis Jahresende noch einige Wochen, und die reichen in den meisten Fällen gut aus.

Prüfen Sie zuerst, welche PHP-Version Ihre TYPO3-Version verträgt; die Tabelle unten zeigt die Kombinationen. Lassen Sie dann die Erweiterungen und den eigenen Code prüfen, bevor jemand am Server dreht. Und wenn ohnehin ein TYPO3-Upgrade ansteht, verbinden Sie beides zu einem Schritt. Das spart Zeit, Tests und am Ende Geld.