Een PHP-versie die end-of-life is, blijft gewoon werken, en dat is precies het probleem: niets geeft aan dat ze geen beveiligingsupdates meer krijgt. Op 21 oktober 2026 bracht PHP met spoed patches uit voor twee kritieke lekken met code-uitvoering op afstand, en de branches die end-of-life zijn, kregen die officieel niet. Hier is de planning die je moet kennen, wat dit concreet betekent voor een WordPress-site en een methode om te migreren zonder dat er iets stukgaat.
De officiële planning
Het PHP-project onderhoudt elke branch vier jaar lang: twee jaar actieve ondersteuning (bugfixes en beveiligingsupdates), daarna twee jaar alleen beveiligingsupdates, uitgebracht wanneer nodig. De einddata vallen voortaan allemaal op 31 december.
| Branch | Verschenen | Einde actieve ondersteuning | Einde beveiligingsupdates | Status op 27 oktober 2026 |
|---|---|---|---|---|
| PHP 7.4 | 28 november 2019 | 28 november 2021 | 28 november 2022 | End-of-life (laatste versie 7.4.33) |
| PHP 8.0 | 26 november 2020 | 26 november 2022 | 26 november 2023 | End-of-life (laatste versie 8.0.30) |
| PHP 8.1 | 25 november 2021 | 25 november 2023 | 31 december 2025 | End-of-life (laatste versie 8.1.34) |
| PHP 8.2 | 8 december 2022 | 31 december 2024 | 31 december 2026 | Alleen beveiliging, nog maar twee maanden |
| PHP 8.3 | 23 november 2023 | 31 december 2025 | 31 december 2027 | Alleen beveiliging |
| PHP 8.4 | 21 november 2024 | 31 december 2026 | 31 december 2028 | Actieve ondersteuning |
| PHP 8.5 | 20 november 2025 | 31 december 2027 | 31 december 2029 | Actieve ondersteuning |
Wat "end-of-life" concreet betekent
Het voorbeeld van oktober 2026
Op 21 oktober 2026 bracht het PHP-team PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit om CVE-2026-109618 en CVE-2026-109619 te verhelpen, twee lekken met een score van 9,2 (CVSS 4.0) die code-uitvoering op afstand zonder authenticatie mogelijk maken. Het advies van PHP vermeldt dat alle installaties die webpagina's serveren getroffen zijn (PHP-FPM, Apache-module, CGI, LiteSpeed…), met het grootste risico voor de Apache-module. Volgens BleepingComputer zag Cloudflare al aanvallen voordat de patches verschenen.
Voor de branches die end-of-life zijn, is het advies onomwonden: PHP 8.1 en ouder krijgen geen updates meer van het project. Het team publiceerde bij uitzondering minimale backports als broncode voor 7.4, 8.0 en 8.1, bedoeld voor wie PHP zelf compileert. Een site op gedeelde hosting met PHP 7.4 is dus volledig afhankelijk van zijn hostingprovider, die deze patch handmatig of via een leverancier van verlengde ondersteuning moet hebben toegepast.
De stille opeenstapeling van lekken
Ook zonder crisis groeit de achterstand snel. Sinds de laatste versie van PHP 8.1 (8.1.34, uitgebracht op 18 december 2025) kreeg de 8.2-branch in 2026 vóór die van oktober vier beveiligingsversies (8.2.31 in mei, 8.2.32 en 8.2.33 in juli, 8.2.34 in september), die volgens de changelog van PHP samen meer dan twintig CVE-nummers verhelpen. Voor 8.1 bestaat geen enkele daarvan.
| Risico | Uitleg | Wie het treft |
|---|---|---|
| Bekende, niet-verholpen lekken | Er worden geen patches meer uitgebracht voor de branch | Alle sites op de branch |
| Makkelijker misbruik | De patches van onderhouden branches laten zien waar de lekken zitten | Sites die zichtbaar zijn op internet |
| Plugins die de versie laten vallen | Makers stoppen met testen en ondersteunen van de branch | Sites die hun plugins bijwerken |
| Geblokkeerde WordPress-updates | WordPress 7.0 vereist minimaal PHP 7.4 | Sites die nog op PHP 7.2 of 7.3 draaien |
| Einde van het aanbod bij de hostingprovider | Versie verwijderd of alleen tegen betaling met verlengde ondersteuning | Niet-gemigreerde sites |
Waar WordPress-sites nu staan
Volgens de openbare statistieken van wordpress.org draait ongeveer 33,6% van de WordPress-sites die contact maken met wordpress.org op een PHP-versie die al end-of-life is (8.1 of ouder), waarvan 15,1% op PHP 7.4. Als er niets verandert, voegt PHP 8.2 (23,2%) zich daar op 31 december 2026 bij: meer dan de helft van de sites zou dan op een versie zonder officiële patches draaien.
Aan de kant van WordPress beveelt de pagina met systeemvereisten PHP 8.3 of nieuwer aan, maar ze vermeldt ook dat WordPress nog werkt met PHP 7.4, een versie die ze als end-of-life aanduidt. WordPress 7.0 en 7.1 ondersteunen PHP 7.4 tot en met 8.5.
Migreren zonder dat er iets stukgaat
- Controleer de huidige versie: Gereedschap, Site-gezondheid, tabblad Informatie, sectie Server. Het Dashboard toont ook een waarschuwing als de versie te oud wordt geacht.
- Kies het doel: minimaal PHP 8.3 (beveiliging tot eind 2027), of 8.4 als je hostingprovider die aanbiedt en je plugins ermee overweg kunnen, voor twee jaar extra marge.
- Werk alles bij voordat je PHP wijzigt: WordPress, thema en plugins. De recente versies van plugins zijn juist die welke zijn aangepast aan nieuwe PHP-versies.
- Test op een kopie (staging): wijzig de PHP-versie, schakel
WP_DEBUG_LOGin en loop de site, het beheergedeelte, de formulieren, de webwinkel en de geplande taken door. Lees het logbestand om fatale fouten en deprecation-waarschuwingen op te sporen. - Vervang wat blokkeert: een plugin die op PHP 8.3 een fatale fout geeft en al lang niet is bijgewerkt, is waarschijnlijk verlaten.
- Zet de productie om via het controlepaneel van je hostingprovider (keuze van de PHP-versie), direct na een volledige back-up, en leeg daarna de caches.
- Houd het foutenlog een paar dagen in de gaten en schakel daarna het tonen en vastleggen van debugfouten in productie uit.
Biedt je hostingprovider geen onderhouden versie aan, dan is dat een sterk signaal om van hostingprovider te wisselen.
Met WP Masquerade
WP Masquerade vereist minimaal PHP 7.4, net als WordPress, en kan PHP uiteraard niet repareren. Wel kan het beperken wat je site prijsgeeft: de Pro-versie beheert de beveiligingsheaders, en de e-mailmeldingen waarschuwen je bij beveiligingsgebeurtenissen. Denk voor de PHP-versie zelf ook aan expose_php = Off, waarmee de header X-Powered-By met de exacte versie verdwijnt. De pagina compatibiliteit met hostingproviders en caches beschrijft de geteste omgevingen.
Lees ook: WordPress-fouten begrijpen en je site debuggen.
Om te onthouden
- PHP 8.1 en ouder zijn end-of-life; PHP 8.2 is dat vanaf 31 december 2026.
- In oktober 2026 werden twee kritieke lekken alleen in de branches 8.2 tot en met 8.5 verholpen.
- Ongeveer een derde van de WordPress-sites draait al op een PHP-versie die end-of-life is.
- Aanbevolen doel: PHP 8.3 of 8.4, eerst getest op een kopie van de site.
- Werk plugins en thema bij voordat je van PHP-versie wisselt.
Bronnen
- PHP: Supported Versions (opent in een nieuw tabblad)
- PHP: Unsupported Branches (end-of-life) (opent in een nieuw tabblad)
- WordPress.org: Requirements (opent in een nieuw tabblad)
- Make WordPress Core: PHP Compatibility and WordPress Versions (opent in een nieuw tabblad)
Andere geraadpleegde bronnen: officiële documentatie en artikelen uit de vakpers.
