PHP und Symfony im Oktober 2026: Sicherheitsupdates, Support-Enden und was im November kommt
Ein voller Monat: Neben der kritischen PHP-Lücke gab es Sicherheitsupdates für Symfony, mehrere Support-Enden rücken näher und im November erscheinen PHP 8.6 und Symfony 8.2. Hier der Überblick und was er für bestehende Projekte bedeutet.
Sicherheit: PHP und Symfony aktualisieren
Das Wichtigste zuerst: Für PHP gibt es seit dem 21. Oktober Updates gegen zwei kritische Lücken mit Remote Code Execution (8.5.12, 8.4.27, 8.3.36, 8.2.35). Die Details stehen in einem eigenen Beitrag.
Symfony hat am 15. Oktober drei Lücken veröffentlicht, die einen Prozess mit einem einzigen präparierten Request lahmlegen können:
- HttpFoundation (CVE-2026-108082): Ein präparierter Cache-Control-Header kostet pro Request fast eine Sekunde CPU. Betrifft jede Anwendung, die HTTP-Requests verarbeitet.
- Yaml (CVE-2026-109413): Tief verschachteltes Inline-YAML bringt den Prozess zum Absturz. Betrifft auch #[MapRequestPayload], wenn die Yaml-Komponente installiert ist und das Format nicht eingeschränkt wird.
- ExpressionLanguage (CVE-2026-109449): Tief verschachtelte Ausdrücke bringen den Prozess zum Absturz, zum Beispiel über #[Assert\ExpressionSyntax].
Behoben ist alles in den aktuellen Patch-Versionen 5.4.54, 6.4.48, 7.4.21 und 8.1.9. Ein composer update symfony/* innerhalb der eingesetzten Version reicht.
Support-Enden in den nächsten Monaten
- 30. November 2026: Symfony 6.4 bekommt nur noch Sicherheitsupdates (bis November 2027).
- 31. Dezember 2026: PHP 8.2 bekommt keine Sicherheitsupdates mehr.
- 31. Dezember 2026: PHP 8.4 bekommt nur noch Sicherheitsupdates (bis Ende 2028).
- 31. Januar 2027: Symfony 8.1 läuft aus. Symfony 8.0 ist bereits seit Juli 2026 ohne Support.
Aktuelle Daten stehen auf php.net/supported-versions.php und symfony.com/releases.
Neu im November: PHP 8.6 und Symfony 8.2
PHP 8.6 ist für den 19. November 2026 geplant und steht als Release Candidate zum Testen bereit. Symfony 8.2 folgt Ende November und wird bis Juli 2027 gepflegt. Aus dem Symfony-Blog der letzten Wochen:
- Eine neue JsonSchema-Komponente
- Signierte Messenger-Transports mit Rotation der Secrets
- Unterstützung für HTTP-Trailer
- Sichereres HTML in Übersetzungen
Was das für bestehende Projekte bedeutet
- Läuft das Projekt auf PHP 8.2, ist jetzt der Zeitpunkt für das Update auf 8.3 oder 8.4. Symfony 6.4 und 7.4 laufen auf beiden.
- Symfony 8.0 und 8.1 sind kurzlebige Versionen. Wer darauf sitzt, sollte bis Ende Januar auf 8.2 gehen oder bewusst bei 7.4 LTS bleiben, das bis November 2029 Sicherheitsupdates bekommt.
- Symfony 6.4 ist noch bis November 2027 sicher, aber der Weg auf 7.4 LTS lässt sich jetzt in Ruhe planen. Hilfreich ist, die Deprecations schon unter 6.4 abzuarbeiten.
- PHP 8.6 muss niemand sofort einsetzen. Es lohnt sich aber, die CI um einen Lauf mit 8.6 zu ergänzen, um Deprecations früh zu sehen.
Quellen
- php.net: News
- Symfony: Security Advisories
- Symfony: Releases und Support-Zeiträume
- PHP 8.6: Release-Plan
- Symfony-Blog: New in Symfony 8.2
Passende Leistungen: Symfony-Upgrade PHP-Migration Symfony-Wartung