Jede PHP-Version ist schneller als die vorige und erhält rund drei Jahre lang Sicherheitskorrekturen. Der einzige Grund, keine unterstützte Version zu fahren, ist, dass etwas, worauf Sie angewiesen sind, darauf nicht läuft — und das ist eine Frage mit einer Antwort, keine Vermutung.

Das Supportfenster ist die Untergrenze

  • Aktiver Support: Fehler- und Sicherheitskorrekturen, etwa zwei Jahre.
  • Sicherheitssupport: nur Sicherheit, ein weiteres Jahr.
  • Danach: nichts mehr, für immer. Eine bekannte Lücke bleibt auf Ihrem Server dauerhaft offen.
Eine nicht mehr unterstützte Version zu fahren ist keine Wartungsentscheidung, sondern eine offene Tür. Und es ist eines der ersten Dinge, nach denen ein automatischer Scan sucht.

Prüfen, bevor Sie wechseln

composer why-not php 8.3
vendor/bin/rector process --dry-run
phpcs --standard=PHPCompatibility --runtime-set testVersion 8.3 app/

Die erste Zeile nennt die Pakete, die Sie zurückhalten. Oft ist es eine einzige aufgegebene Bibliothek, und sie zu ersetzen ist weniger Arbeit, als für immer zurückzubleiben.

Wenn ein CMS im Spiel ist

Sehen Sie in die Kompatibilitätsseite für den Kern und für jedes Plugin. Ein Plugin, das seit drei Jahren kein Update bekommen hat, ist der Grund für Ihren Stillstand — und für sich genommen ebenfalls ein Sicherheitsproblem.

Sicher wechseln

  1. Legen Sie eine Sicherung an — siehe Vor jedem Update sichern.
  2. Stellen Sie zuerst die Staging-Umgebung um — und üben Sie Kasse, Uploads, Mailversand und die Cronjobs durch.
  3. Stellen Sie die Produktion um und lassen Sie die alte Version installiert — damit der Rückweg eine einzige Zeile ist.
  4. Beobachten Sie einen Tag lang das Fehlerprotokoll — Veraltungshinweise kommen mit dem Verkehr, nicht mit den Tests.

Und die Version, die Ihre Cronjobs benutzen

php -v                                    # the CLI
curl -sSI https://yourdomain.com | grep -i x-powered-by
CLI und Web sind getrennte Einstellungen. Ein nächtlicher Job auf einer alten Version, während die Website auf einer neuen läuft, erzeugt Fehler, die ausschließlich nachts auftreten — siehe PHP gepatcht halten.