Das PHP-Dilemma: Warum du TYPO3 und Sulu aktuell halten solltest

Die Website läuft, die Kundschaft findet, was sie sucht, alles scheint in Ordnung. Warum also etwas anfassen? Weil unter der Oberfläche eine Uhr tickt: die PHP-Version. Und mit ihr das Redaktionssystem, die Erweiterungen und manchmal sogar der Vertrag mit dem Hoster.

Dieser Beitrag erklärt das PHP-Dilemma, in dem viele Websites stecken, und warum es sich lohnt, Systeme wie TYPO3 und Sulu laufend aktuell zu halten, statt alle paar Jahre einen grossen Rettungsumbau zu machen.

Was PHP mit deiner Website zu tun hat

PHP ist die Programmiersprache, mit der die meisten Redaktionssysteme arbeiten, darunter TYPO3, Sulu, WordPress, Joomla und Contao. Jede Seite, die du im Browser aufrufst, wird auf dem Server mit PHP zusammengesetzt.

Jede PHP-Version wird nur eine begrenzte Zeit gepflegt: zwei Jahre aktiv, danach zwei Jahre nur noch mit Sicherheitsupdates, jeweils bis zum 31. Dezember. Stand Oktober 2026 heisst das:

• PHP 8.1 und älter: keine Sicherheitsupdates mehr (PHP 8.1 seit 31.12.2025, PHP 7.4 schon seit 28.11.2022).
• PHP 8.2: nur noch Sicherheitsupdates, bis 31.12.2026.
• PHP 8.3: nur noch Sicherheitsupdates, bis 31.12.2027.
• PHP 8.4 und 8.5: aktiv unterstützt.

Läuft eine Website auf einer Version ohne Sicherheitsupdates, funktioniert sie weiter wie bisher. Neu entdeckte Sicherheitslücken werden aber nicht mehr geschlossen. Genau das macht solche Websites für automatisierte Angriffe interessant.

Das Dilemma: Alles hängt zusammen

Eigentlich klingt die Lösung einfach: PHP aktualisieren. In der Praxis hängen aber drei Dinge aneinander, die sich nicht unabhängig voneinander bewegen lassen:

• PHP stellt der Hoster bereit. Er will alte Versionen loswerden, stellt sie irgendwann automatisch um oder verlangt dafür einen Aufpreis.
• Das Redaktionssystem läuft nur auf bestimmten PHP-Versionen. Eine alte TYPO3-Version läuft auf neuem PHP nicht, eine neue TYPO3-Version nicht auf altem.
• Erweiterungen und eigener Code müssen zu beiden passen. Eine Erweiterung, die seit Jahren niemand mehr pflegt, blockiert dann das ganze Update.

Wer lange nichts macht, steckt deshalb plötzlich fest: Das alte System braucht ein altes PHP, das alte PHP bekommt keine Sicherheitsupdates mehr, und der Sprung auf aktuelle Versionen ist so gross geworden, dass er sich wie ein Neubau anfühlt. Oft muss es dann schnell gehen, weil der Hoster einen Termin setzt.

Beispiel TYPO3: Versionen mit Ablaufdatum

TYPO3 bringt etwa alle 18 Monate eine Version mit Langzeit-Support (LTS) heraus. Jede LTS-Version bekommt rund drei Jahre lang kostenlos Fehler- und Sicherheitskorrekturen. Danach gibt es nur noch kostenpflichtigen erweiterten Support (ELTS).

• TYPO3 v14 LTS ist die aktuelle Version und läuft auf PHP 8.2 bis 8.5.
• TYPO3 v13 LTS bekommt noch bis 2027 Sicherheitsupdates und setzt mindestens PHP 8.2 voraus. Die TYPO3-Entwickler empfehlen bereits das Update auf v14.
• TYPO3 v12 LTS bekommt seit dem 30. April 2026 keine kostenlosen Updates mehr, nur noch über ELTS.
• TYPO3 v11 und älter laufen nur noch mit kostenpflichtigem ELTS. TYPO3 v10 braucht sogar PHP 7, für das es seit 2022 keine Sicherheitsupdates mehr gibt.

Wer von v10 oder v11 direkt auf v14 will, überspringt mehrere Versionen. Jede davon hat Änderungen, die Erweiterungen und Vorlagen betreffen. Wer dagegen jede LTS-Version mitnimmt, macht alle paar Jahre einen überschaubaren Schritt.

Beispiel Sulu: moderne Basis, gleiche Regel

Sulu baut auf dem PHP-Framework Symfony auf und folgt dessen Rhythmus. Sulu 2.6 und Sulu 3.0, erschienen im November 2025, laufen auf PHP 8.2 bis 8.5. Mit Sulu 3 wurde die Speicherung der Inhalte neu geschrieben. Das macht das System schneller und einfacher zu betreiben, bedeutet aber auch: Wer von Sulu 2 auf Sulu 3 wechselt, plant das als eigenes Projekt.

Auch bei Sulu gilt: Kleine Updates von Sulu und Symfony laufend einspielen, dann bleibt der Weg zur nächsten grossen Version kurz. Das gilt auch für Erweiterungen wie unser eigenes Bundle sulupixel, das wir mit jeder neuen Sulu-Version nachführen.

Warum regelmässige Updates günstiger sind

Updates kosten Zeit und Geld, das ist klar. Trotzdem ist die regelmässige Pflege fast immer die günstigere Variante:

• Kleine Schritte sind planbar. Ein Update von einer Version auf die nächste ist überschaubar und lässt sich gut testen. Mehrere Versionen auf einmal werden schnell zum Grossprojekt.
• Kein Zeitdruck. Wer seine Website aktuell hält, muss nicht reagieren, wenn der Hoster eine alte PHP-Version abschaltet.
• Sicherheit. Viele Angriffe laufen automatisiert und suchen gezielt nach bekannten Lücken in veralteten Systemen und Erweiterungen. Wer aktuell ist, fällt durch dieses Raster.
• Keine Aufpreise für Altlasten. Erweiterter Support für alte Systeme oder alte PHP-Versionen ist möglich, kostet aber und verschiebt das Problem nur.
• Neue Funktionen. Aktuelle Versionen bringen Verbesserungen bei Geschwindigkeit, Bedienung, Barrierefreiheit und Sicherheit mit, die du sonst verpasst.

So bleibt deine Website auf dem neusten Stand

1. Bestandsaufnahme: Welche PHP-Version, welches System in welcher Version, welche Erweiterungen? Einen ersten Eindruck gibt dir unser kostenloser PHP-Sicherheitscheck.
2. Kleine Updates laufend einspielen: Sicherheits- und Fehlerkorrekturen von System und Erweiterungen gehören in die regelmässige Wartung, nicht in die Schublade.
3. Grosse Versionswechsel planen: Den Sprung auf die nächste LTS-Version rechtzeitig einplanen, am besten bevor die alte ausläuft, und dafür ein Budget vorsehen.
4. Immer zuerst auf einer Kopie testen: Updates gehören nie direkt auf die Live-Website. Erst wenn auf der Testkopie alles läuft, wird umgeschaltet, mit Backup und einem Weg zurück.
5. Ungepflegte Erweiterungen ersetzen: Wird eine Erweiterung nicht mehr weiterentwickelt, früh nach einem Ersatz suchen, bevor sie ein Update blockiert.

Fazit

Eine Website ist kein Projekt, das mit dem Livegang abgeschlossen ist. PHP, Redaktionssystem und Erweiterungen entwickeln sich weiter, und wer mitzieht, hat eine sichere Website ohne böse Überraschungen. Wer stehen bleibt, zahlt später meist mehr, und dann unter Zeitdruck.

Du willst wissen, wo deine Website steht? Mach den kostenlosen PHP-Sicherheitscheck oder schreib uns. Wir sehen uns PHP, System und Erweiterungen an und sagen dir ehrlich, was ansteht.