Laravel-versioner og support: hvornår mister din version sikkerhedsopdateringer?

Laravels supportpolitik er den samme for alle nyere versioner: hver hovedversion får fejlrettelser i 18 måneder og sikkerhedsrettelser i 2 år, og der udkommer en ny hovedversion cirka én gang om året. For dig som ejer af en Laravel-app betyder det at der i praksis kun er support på de to nyeste Laravel-versioner ad gangen. Ved udgivelsen af denne oversigt i januar 2027 er det Laravel 13 med fuld support og Laravel 12, der mister sine sikkerhedsrettelser 24. februar 2027.

Kører din app på Laravel 11 eller ældre, får den allerede ingen rettelser. Nedenfor finder du hele tabellen, hvad udløbet betyder for en app i drift, og hvad jeg vil anbefale alt efter hvilken version du står på.

Den korte version

Tabellen viser hvornår hver version mister fejlrettelser og sikkerhedsrettelser. Datoerne kommer fra Laravels officielle supporttabel, og de ældste versioner fra udgivelsesnoterne til Laravel 9. Tjek altid den officielle tabel før du træffer en beslutning, for datoerne for nye versioner kan blive justeret.

Min beslutningsregel er enkel. Står din app på den nyeste version, holder du den opdateret løbende. Står den på den næstnyeste, skal opgraderingen ligge i kalenderen inden for de næste måneder. Er den to versioner bagud eller mere, er den uden sikkerhedsrettelser, og så har opgraderingen førsteprioritet.

Laravel 14 har ingen officiel dato endnu. Ifølge Laravel News' oversigt over Laravel 14 kommer den til at kræve mindst PHP 8.4, fordi den bygger på Symfony 8, men det kan nå at ændre sig. Versionen er kun én del af at holde en app sund, og backup, overvågning og hosting gennemgår jeg i den samlede guide til drift og vedligehold af webapps.

Hvad fejlrettelser, sikkerhedsrettelser og "end of life" betyder

Hver Laravel-version går gennem tre faser, og overgangen mellem dem afgør hvor travlt du har.

Fuld support: de første 18 måneder

Laravel retter både almindelige fejl og sikkerhedshuller i din version. Rettelserne kommer som små opdateringer (minor og patch), og ifølge Laravels egen politik bør de aldrig ødelægge eksisterende kode. Din udvikler kan derfor hente dem løbende uden at skulle ændre i appen.

Kun sikkerhedsrettelser: måned 18 til 24

Almindelige fejl bliver ikke længere rettet i din version, men sikkerhedshuller gør. Appen er stadig forsvarlig at køre, og det er i denne fase opgraderingen bør være planlagt og gerne i gang. Laravel 12 er i den fase frem til 24. februar 2027.

Ingen support: end of life

Der sker ikke noget synligt den dag supporten slutter. Appen kører videre som før, men den får ingen rettelser mere. Bliver der senere fundet et sikkerhedshul i Laravel, kommer rettelsen kun til de understøttede versioner. Samtidig bliver hullet som regel beskrevet offentligt, og så er det nemmere at angribe de apps der ikke er opdateret. Nye versioner af tredjepartspakker holder også op med at understøtte din version, så du kan heller ikke få rettelser den vej.

Rytmen er forudsigelig. Laravel udgiver en ny hovedversion omkring første kvartal hvert år, og når den kommer, har den forrige version typisk et halvt år med fejlrettelser og et år med sikkerhedsrettelser tilbage. Laravel 13 udkom 17. marts 2026, og Laravel 12 fik sine sidste fejlrettelser 13. august 2026. Den periode er dit vindue til at opgradere i ro og mag.

PHP-versionen er den anden halvdel af regnestykket

Laravel kører oven på PHP, og PHP har sin egen supportcyklus: 2 års aktiv support og 2 års sikkerhedsrettelser, med udløb 31. december. Ifølge PHP's oversigt over understøttede versioner har PHP 8.2 sikkerhedssupport til og med 31. december 2026. Fra 2027 er PHP 8.3 den ældste version der stadig får rettelser.

Hver Laravel-version understøtter kun et bestemt spænd af PHP-versioner. Det afgør hvor længe du kan holde serveren sikker, selv efter Laravel-versionen er udløbet.

Her bliver det alvorligt for de ældste apps. En Laravel 10-app får ingen rettelser til frameworket, men den kan stadig køre på en PHP-version med sikkerhedssupport. Fra 2027 understøtter Laravel 9 officielt ingen PHP-version der stadig får sikkerhedsrettelser. Så er begge lag uden rettelser på én gang.

PHP-kravet virker også den anden vej. Laravel 13 kræver mindst PHP 8.3, og Laravel 14 ventes at kræve 8.4. Kører serveren en ældre PHP, skal den opgraderes før eller samtidig med frameworket. Hostingudbydere fjerner desuden gamle PHP-versioner fra deres platforme på et tidspunkt, og det kan tvinge en opgradering igennem med kort varsel.

Sådan finder du ud af hvilken version din app kører

Du behøver ikke selv at kunne kode for at få svaret:

1. Spørg din udvikler eller hostingudbyder: "Hvilken version af Laravel og PHP kører vores app i produktion?" Det bør kunne besvares på få minutter.
2. Har du eller en udvikler adgang til serveren, viser kommandoen php artisan --version Laravel-versionen. I nyere versioner giver php artisan about et samlet overblik med både Laravel- og PHP-version.
3. Har du adgang til kodearkivet (repository), så åbn filen composer.lock, søg efter laravel/framework, og læs versionsnummeret lige under.
4. Tjek PHP-versionen der hvor appen faktisk kører, fx i hostingpanelet. Kommandolinjen og webserveren kan køre forskellige PHP-versioner på samme maskine, så php -v i en terminal er ikke altid hele sandheden.
5. Skriv begge versioner ned sammen med deres udløbsdatoer fra tabellerne ovenfor, og sæt en påmindelse et halvt år før den første af dem.

Det tager typisk under en time. Får du ikke et klart svar fra den der vedligeholder appen, er det i sig selv et tegn på at ingen holder øje.

Hvad du gør, alt efter hvilken version du står på

Når du kender versionen, er næste skridt ret entydigt. Tabellen er min anbefaling til en typisk forretningsapp med login og persondata.

Står du på Laravel 12, er det sjældent et stort arbejde. Laravels egen opgraderingsguide fra 12 til 13 anslår 10 minutter, og teamet har bevidst holdt antallet af bagudinkompatible ændringer nede. Det kan holde for en lille app med få pakker og gode tests. Med mange tredjepartspakker og ingen tests skal du regne med mere, fordi hver pakke også skal understøtte den nye version.

Står du på Laravel 10 eller 11, er der flere trin. Følg opgraderingsguiderne i rækkefølge, og udgiv gerne hvert trin for sig, så det er tydeligt hvad der skabte en eventuel fejl. Hvordan du gør det sikkert med backup, testmiljø og tilbagerulning, har jeg beskrevet i guiden til opdatering af framework og pakker. Hvad arbejdet typisk koster, kan du læse i min gennemgang af prisen på en Laravel-opgradering.

Står du på Laravel 9 eller ældre, også de gamle Laravel 5- og 6-apps, er det et projekt og ikke en rutineopgave. Her skal du afklare om det bedst kan betale sig at opgradere trin for trin eller at modernisere dele af systemet. Det skriver jeg mere om i tegnene på at et gammelt PHP-system skal moderniseres.

Hvis du ikke kan nå at opgradere inden fristen

Nogle gange kan opgraderingen ikke nås før supporten udløber. Det kan være en pakke der ikke er klar til den nye version, eller en periode hvor alle ressourcer er bundet andre steder. Så handler det om at mindske risikoen indtil opgraderingen er færdig:

• Sæt en konkret dato for opgraderingen og hold fast i den. "Snart" er ikke en plan.
• Hold PHP og serveren på den nyeste version din Laravel-version understøtter.
• Følg sikkerhedsadvarsler. Kør composer audit jævnligt, så du ved om der dukker kendte huller op i dine pakker.
• Begræns hvem der kan nå appen. Et administrationspanel kan fx lukkes ned til bestemte IP-adresser eller lægges bag VPN.
• Slå funktioner fra der ikke bliver brugt, og fjern pakker appen ikke længere har brug for.
• Sørg for at backup og overvågning virker, så du opdager et problem hurtigt og kan rette op på det.

Det gør ikke en version uden support sikker. Det køber dig tid, og tiden skal bruges på opgraderingen. Skriv beslutningen ned med de risici du har accepteret og datoen hvor opgraderingen er færdig. Sælger du til større virksomheder, spørger deres sikkerhedsspørgeskemaer ofte om du kører software med support, og en dokumenteret plan er et langt bedre svar end et skuldertræk.

Hvornår du ikke har brug for en ekstern udvikler

Jeg tjener penge på opgraderinger, så det er rimeligt at sige hvornår du kan klare dig uden. Har du en intern udvikler der kender Laravel, er et trin fra 12 til 13 i en app med tests en overskuelig opgave med den officielle guide i hånden. Skal appen lukkes eller erstattes inden for få måneder, er en opgradering sjældent pengene værd, og så er det bedre at begrænse adgangen og holde øje med den. Og er appen ikke bygget i Laravel, gælder datoerne her ikke. Find en specialist i den teknologi den faktisk er bygget i.

Næste skridt

Start med de to versionsnumre: Laravel og PHP. Sammenlign dem med tabellerne ovenfor, og sæt datoerne i kalenderen. Tjeklisten her er nok til at du har overblikket.

Står opgraderinger ikke allerede i din aftale med udvikleren, så få dem skrevet ind. Min tjekliste til en serviceaftale med en udvikler viser hvad der bør stå. Vil du have hjælp til selve arbejdet, kan du se hvordan jeg arbejder med Laravel-udvikling, opgraderinger og videreudvikling. Du har direkte kontakt med mig, der skriver koden, og får svar inden for én hverdag.

Ofte stillede spørgsmål

Er Laravel 13 en LTS-version?+

Nej. Laravel har ikke haft versioner med betegnelsen LTS (long-term support) siden Laravel 6. I dag får alle hovedversioner den samme support: 18 måneders fejlrettelser og 2 års sikkerhedsrettelser. Du kan derfor ikke vælge en version og blive på den i mange år. Regn i stedet med én opgradering om året, og læg den gerne inden for et halvt år efter at en ny version er udkommet.

Skal jeg vente på Laravel 14 i stedet for at opgradere til 13?+

Nej, ikke hvis du står på Laravel 12 eller ældre. Laravel 13 har sikkerhedsrettelser til 17. marts 2028, så du får god tid. Trinnet videre til 14 bliver også mindre når du allerede står på 13. Laravel 14 ventes desuden at kræve PHP 8.4, så den kan kræve en serveropgradering oven i selve frameworket. Står du allerede på 13, er Laravel 14 blot din næste planlagte opgradering.

Får Laravels andre pakker som Cashier og Horizon samme support?+

Nej, for dem er reglen strammere. Ifølge Laravels supportpolitik får kun den nyeste hovedversion af de øvrige officielle pakker fejlrettelser. Bruger du fx en ældre version af Cashier til betalinger eller Horizon til baggrundsjob, skal de også opgraderes for at følge med. Tag dem med når du laver dit overblik, for de kan gøre en opgradering større end selve frameworket.

Kan min hostingudbyder holde appen sikker selvom Laravel-versionen er for gammel?+

Kun delvist. Hostingudbyderen kan holde server, database og PHP opdateret, og nogle Linux-distributioner vedligeholder selv sikkerhedsrettelser til ældre PHP-versioner i en periode. Men Laravel ligger i din apps kode, og den kan hostingudbyderen ikke rette. Et hul i frameworket bliver kun lukket ved at opgradere appen, og det er en opgave for en udvikler.

Er det ulovligt at køre en Laravel-version uden support?+

Nej, ingen lov forbyder en bestemt version. Men behandler appen persondata, kræver GDPR (artikel 32) sikkerhed der passer til risikoen og det aktuelle tekniske niveau, og kendte huller uden rettelser er svære at forklare efter et brud. Er din virksomhed omfattet af NIS2, er kravene til sikkerhed skærpet yderligere. Tal med en juridisk rådgiver hvis du er i tvivl om dine forpligtelser.