Blog
End of Life 2026: PHP, Node.js und Python im Überblick
Eine Runtime ohne Sicherheitsupdates ist eine offene Rechnung: Die nächste Lücke wird für sie nicht mehr gefixt. Hier der Stand vom Oktober 2026 für PHP, Node.js und Python, und wie du herausfindest, was in deinen Repos wirklich läuft.
Aktualisiert am · Stackwatch-Team
Warum End of Life zählt
Wenn eine Runtime ihr End of Life (EOL) erreicht, bekommt sie keine Sicherheitsupdates mehr. Die Software läuft weiter, aber jede neue Lücke bleibt offen. Bei PHP2Shell gab es für PHP 7.4 bis 8.1 nur noch Quell-Backports, kein offizielles Release mehr.
PHP
| Version | Status (Oktober 2026) | Sicherheitsupdates bis |
|---|---|---|
| 8.5 | aktiv | 31.12.2029 |
| 8.4 | aktiv | 31.12.2028 |
| 8.3 | nur Sicherheitsfixes | 31.12.2027 |
| 8.2 | nur Sicherheitsfixes | 31.12.2026 |
| 8.1 und älter | End of Life | abgelaufen |
PHP 8.2 endet in gut zwei Monaten. Wenn du jetzt auf 8.2 bist, plane den Umstieg auf 8.4 oder 8.5. PHP 8.6 ist im Release-Candidate-Stadium.
Node.js
| Version | Status (Oktober 2026) | End of Life |
|---|---|---|
| 26 | wird am 28.10.2026 LTS | 30.04.2029 |
| 24 | Maintenance-LTS | 30.04.2028 |
| 22 | Maintenance-LTS | 30.04.2027 |
| 20 | End of Life | 30.04.2026 |
| 18 und älter | End of Life | abgelaufen |
Node.js 20 bekommt seit April keine Sicherheitsupdates mehr. Für Produktivsysteme empfiehlt das Node.js-Projekt LTS-Versionen.
Python
| Version | Status (Oktober 2026) | End of Life |
|---|---|---|
| 3.15 | Bugfixes | – |
| 3.14 | Bugfixes | – |
| 3.13 | nur Sicherheitsfixes | 10/2029 |
| 3.12 | nur Sicherheitsfixes | 10/2028 |
| 3.11 | nur Sicherheitsfixes | 10/2027 |
| 3.10 | End of Life | 01.10.2026 |
| 3.9 und älter | End of Life | abgelaufen |
Python 3.10 ist seit dem 1. Oktober 2026 ohne Sicherheitsupdates.
So findest du heraus, was in deinen Repos läuft
Runtime-Versionen stehen selten an einer Stelle. Typische Fundorte:
grep -rnE "FROM (php|node|python):" --include=Dockerfile* .
cat .php-version .nvmrc .node-version .python-version .tool-versions 2>/dev/null
grep -rnE "(php|node|python)-version" .github/workflows/Dazu kommen composer.json (require.php), package.json (engines.node), pyproject.toml (requires-python) und Infrastruktur-Code. Diese Angaben beschreiben oft einen erlaubten Bereich, nicht die Version, die wirklich läuft. Die zuverlässigste Quelle ist das Basis-Image oder das Deployment. Paket-Scanner wie Dependabot werten Dockerfiles nicht aus, mehr dazu im Vergleich mit Dependabot.
Auf dem laufenden System:
php -v
node -v
python3 --versionBei Distributionen gilt der Support der Distribution
Wenn PHP, Node.js oder Python aus den Paketquellen von Debian, Ubuntu oder RHEL kommen, zählt deren Support-Zeitraum. Distributionen portieren Sicherheitsfixes oft zurück, auch über das EOL des Upstream-Projekts hinaus. Die Versionsnummer allein sagt dann wenig.
Was du jetzt tust
- Alle Runtimes und Versionen aus deinen Repos auflisten.
- Alles mit EOL bis Ende 2026 markieren: PHP 8.2, Node.js 20, Python 3.10.
- Upgrades einplanen, bevor die nächste Lücke kommt, nicht danach. Stackwatch erkennt die Runtime-Versionen automatisch aus deinen Repos, siehe So funktioniert’s.
Quellen
Häufige Fragen
Was bedeutet End of Life bei PHP, Node.js und Python?
Die Runtime bekommt keine Sicherheitsupdates mehr. Die Software läuft weiter, aber jede neue Lücke bleibt offen.
Welche Versionen sind im Oktober 2026 schon abgelaufen?
PHP 8.1 und älter, Node.js 20 (seit 30.04.2026) und älter sowie Python 3.10 (seit 01.10.2026) und älter. Diese Versionen bekommen keine Sicherheitsupdates mehr.
Wie lange bekommt PHP 8.2 noch Sicherheitsupdates?
Bis zum 31.12.2026. Wenn du jetzt auf 8.2 bist, plane den Umstieg auf 8.4 oder 8.5.
Wo finde ich heraus, welche Runtime-Version meine Repos nutzen?
Typische Fundorte sind Dockerfiles, .php-version, .nvmrc, .node-version, .python-version, .tool-versions, CI-Configs, composer.json, package.json und pyproject.toml. Diese Angaben beschreiben oft nur einen erlaubten Bereich, die zuverlässigste Quelle ist das Basis-Image oder das Deployment.
Gilt das End of Life auch für PHP aus Debian, Ubuntu oder RHEL?
Dann zählt der Support-Zeitraum der Distribution. Distributionen portieren Sicherheitsfixes oft zurück, auch über das End of Life des Upstream-Projekts hinaus, die Versionsnummer allein sagt dann wenig.
Was sollte ich jetzt tun?
Alle Runtimes und Versionen aus deinen Repos auflisten, alles mit End of Life bis Ende 2026 markieren (PHP 8.2, Node.js 20, Python 3.10) und die Upgrades einplanen, bevor die nächste Lücke kommt, nicht danach.