PHP 8.2 · Nur noch Sicherheitsupdates, bis 31.12.2026

PHP 8.2: Sicherheitsupdates nur noch bis zum 31. Dezember 2026. Jetzt den Sprung auf 8.4 planen

PHP 8.2 bekommt seit Anfang 2025 nur noch Sicherheitsupdates, und die enden am 31. Dezember 2026. Wer heute darauf läuft, ist noch abgesichert, auch gegen die Lücken vom Oktober 2026. Der Sprung auf 8.4 ist klein. Was zu tun ist und warum nicht erst im Dezember.

Erschienen
08.12.2022
Aktiver Support bis
31.12.2024
Sicherheitsupdates bis
31.12.2026
Aktuelles Release
8.2.35
Empfohlenes Ziel
PHP 8.4

Termine: php.net, Supported Versions.

PHP 8.2 erschien im Dezember 2022 mit readonly-Klassen, dem Ende der dynamischen Eigenschaften und disjunktiven Normalform-Typen. Der aktive Support endete am 31. Dezember 2024; seitdem gibt es nur noch Sicherheitsupdates, und die laufen am 31. Dezember 2026 aus.

Wo PHP 8.2 heute steht

Noch abgesichert, mit Datum. Das Sicherheitsrelease vom 21. Oktober 2026 (8.2.35) hat die beiden kritischen Lücken auch für 8.2 geschlossen; das war eines der letzten Releases dieser Art für diese Version. Ab dem 1. Januar 2027 passiert das nicht mehr: Das nächste Sicherheitsrelease wird 8.3, 8.4 und 8.5 abdecken, 8.2 nicht.

8.2 ist die Version, auf der aktuell viele gepflegte Anwendungen laufen: Laravel 10 und 11, Symfony 6.4 und 7.0, Shopware 6.5 und 6.6, TYPO3 12 und 13, Drupal 10. Alle unterstützen 8.4 in aktuellen Versionen. Der Sprung ist deshalb meistens klein, und genau deshalb bleibt er liegen.

Was beim Upgrade von 8.2 auf PHP 8.4 zu tun ist

  • Implizit nullbare Parameter (Type $x = null) sind seit 8.4 veraltet und werden zu ?Type $x = null. Rector erledigt das vollständig.
  • get_class() und get_parent_class() ohne Argument sind seit 8.3 veraltet.
  • unserialize() meldet seit 8.3 fehlerhafte Daten als Warnung; wer Notices unterdrückt, sieht jetzt Einträge im Log.
  • round() rundet seit 8.4 in Grenzfällen mit Fließkomma-Ungenauigkeit anders. Wer Beträge rundet, sollte die Rundung über einen Test absichern.
  • E_STRICT ist seit 8.4 entfernt; alte error_reporting()-Konstrukte brauchen eine Anpassung.
  • xml_set_*-Funktionen ohne Objekt-Handler, mysqli_ping(), mysqli_refresh(), mysqli_kill() und die Session-Option sid_length sind seit 8.4 veraltet.
  • Statische Eigenschaften in Traits werden seit 8.3 anders behandelt, wenn eine Klasse sie neu deklariert.
  • Bibliotheken: Die großen Pakete unterstützen 8.4 seit Ende 2024. Prüfen lohnt sich bei Plugins, internen Forks und bei allem ohne Release seit 2023.

Was 8.4 Neues mitbringt (Property Hooks, asymmetrische Sichtbarkeit, new ohne Klammern, die neue DOM-API), steht im eigenen Beitrag. Für den Blick nach vorn: PHP 8.5 als Upgrade-Ziel.

Der Weg von 8.2 auf PHP 8.4

  1. composer install unter 8.4 auf einer Kopie, Testsuite laufen lassen. Das dauert einen Vormittag und ist der ganze Befund.
  2. Rector für die nullbaren Parameter, Rest von Hand.
  3. Rundungen und Datums-Code gezielt testen.
  4. Umschalten in einer Randzeit, Rückweg ist der Versionswechsel am Server.

Für die meisten 8.2-Anwendungen ein Tag Arbeit plus ein paar Tage Beobachtung. Wer kein eigenes Team dafür hat, bekommt die Umstellung als kleinste Stufe der Minimal-Migration.

Was nach dem Upgrade bleibt

Ab 8.4 ist die Anwendung bis Ende 2026 aktiv gepflegt und bis Ende 2028 abgesichert. Wer die Routine behalten will, plant das nächste Upgrade auf 8.6 für 2028 ein und weist Patches regelmäßig nach, statt auf die nächste Frist zu warten.

Kosten

Die Pakete für den Weg von PHP 8.2 auf PHP 8.4

Ab-Preise netto. Verbindlich wird es mit dem Festpreis nach dem Befund, und der Befund wird auf jedes Folgepaket angerechnet.

PaketPreisDauerFür wen
Kurz-CheckEinstieg · kostenlos Preiskostenlos Dauer30 Minuten Sie wissen nicht, wie schlimm es wirklich um Ihre Anwendung steht, und wollen erst einmal eine Einordnung.
Minimal-MigrationUmsetzung · das Nötigste Preisab 9.800 € Dauer2–6 Wochen Ihr Hoster schaltet PHP 7 ab, ein Audit verlangt eine unterstützte Version – und Sie brauchen das schnell, nicht schön.

Fragen

Was zu PHP 8.2 meistens gefragt wird

Wir haben das Sicherheitsupdate vom 21. Oktober 2026 auf 8.2.35 eingespielt. Sind wir damit fertig?

Für diese Lücken ja. Für die nächsten nur noch bis zum 31. Dezember 2026. Das Oktober-Release zeigt, wie der Ablauf nach dem Support-Ende aussieht: Ein Fix erscheint für die gepflegten Versionen, die anderen bleiben offen. Ab Januar steht 8.2 auf der anderen Seite dieser Linie.

Ist das Upgrade von 8.2 auf 8.4 ein Risiko für den Betrieb?

Ein kleines. Es gibt keine Brüche in der Größenordnung von 8.0, sondern Deprecations (implizit nullbare Parameter) und wenige Verhaltensänderungen (round, get_class ohne Argument). Für eine Anwendung mit Testsuite ist es ein Tag. Die Umschaltung am Server ist in Minuten rückgängig.

Warum nicht bis Dezember warten?

Weil im Dezember alle gleichzeitig wollen, Hoster inklusive, und weil ein Upgrade unter Zeitdruck die Fehler produziert, die ein Upgrade im November nicht hat. Dazu kommt: Wer vor dem nächsten Sicherheitsrelease auf 8.4 ist, patcht einfach. Wer danach auf 8.2 ist, hat ein Problem ohne Fix.

Nächster Schritt: Kurz-Check (kostenlos)

Drei kurze Schritte im Formular, dann melden wir uns innerhalb eines Werktags. Wer noch nicht so weit ist, nimmt den kostenlosen Kurz-Check.

Kurz-Check anfragen