Symfony 8.x im Überblick: 8.0, 8.1 und was Symfony 8.2 im November bringt

Stand: 09.11.2026, Symfony 8.1.11 released (04.11.2026) mit Security-Fixes, Symfony 8.2.0-BETA1 released (04.11.2026), 8.2 geplant für November 2026

Release-Zeitplan der Symfony-8.x-Reihe

Am 04.11.2026 ist mit Symfony 8.2.0-BETA1 die erste Beta erschienen. Ein Release Candidate ist noch nicht erschienen, einen Tag für das finale Release nennt Symfony nicht. Die offizielle Dokumentation zum Release-Prozess nennt nur das Schema: vier Monate Entwicklung, zwei Monate Stabilisierung. Die Release-Seite von Symfony 8.2 nennt weiterhin „November 2026“, den Status „in Entwicklung“, PHP 8.4 als Mindestversion und das Supportende im Juli 2027.

Standardversionen wie 8.0, 8.1 und 8.2 erhalten laut Symfony-Release-Prozess acht Monate lang Bug- und Sicherheitsfixes, danach endet die Pflege vollständig. Nur LTS-Versionen haben einen längeren Zeitraum für Sicherheitsupdates.

Symfony 8.0: Nicht mehr gepflegt

Symfony 8.0 war die erste Version der neuen Major-Reihe und ist keine LTS. Die Pflege endete im Juli 2026, seitdem gibt es weder Bugfixes noch Sicherheitsupdates. Wer im November 2025 auf 8.0 gestartet ist und seitdem nicht auf 8.1 gewechselt hat, sollte das jetzt nachholen. Der Sprung von 8.0 auf 8.1 ist ein Minor-Upgrade innerhalb derselben Major-Reihe und damit überschaubar.

Symfony 8.1: Aktuelle Version bis Januar 2027

Symfony 8.1 erschien im Mai 2026 und ist die aktuell gepflegte Standardversion. Bug- und Sicherheitsfixes gibt es bis 31.01.2027. Zu den Neuerungen gehörten HTTP-lose Anwendungen, bei denen Symfony-Projekte ohne HTTP-Kernel etwa als reine Konsolen- oder Worker-Anwendungen laufen, sowie neue CLI-Funktionen.

Patch-Runde vom 29. September 2026

Am 29.09.2026 erschienen Symfony 6.4.47, 7.4.20 und 8.1.8 (Status: released). Der Changelog von 8.1.8 enthält mehrere sicherheitsrelevante Korrekturen, darunter die Bindung entdeckter OIDC-Schlüssel an ihren jeweiligen Issuer. Laut Sekundärquellen kamen das Escaping von Identifiern und PHP-Kommentaren in generiertem Code sowie ein Schutz gegen Option-Injection bei ffprobe hinzu. Diese Punkte wurden als Bugfixes ausgeliefert, ein eigenes Security-Advisory dazu habe ich nicht gefunden.

# Prüfen, welche Symfony-Version im Projekt tatsächlich installiert ist
composer show symfony/framework-bundle | grep versions

# Patch-Update innerhalb der installierten Minor-Version einspielen
composer update "symfony/*" --with-all-dependencies

Wer OIDC-Authentifizierung nutzt, sollte das Update auf 8.1.8 beziehungsweise 7.4.20 zeitnah einspielen, auch ohne formales Advisory.

Am 11. und 12.10.2026 folgten Symfony 6.4.48, 7.4.21 und 8.1.9 (Status: released).

Patch-Runde vom 28. Oktober 2026

Am 28.10.2026 erschienen Symfony 8.1.10, 7.4.22, 6.4.49 und 5.4.55 als Wartungsversionen (Status: released). Security-Advisories nennt der Wochenrückblick für den 26.10. bis 01.11.2026 nicht. Das Update gehört trotzdem in den regulären Patch-Takt.

Für Projekte auf Symfony 6.4 LTS beginnt jetzt die letzte Phase: Bugfixes gibt es noch bis November 2026, Sicherheitsfixes bis November 2027.

Patch-Runde vom 4. November 2026 mit Security-Fixes

Am 04.11.2026 erschienen Symfony 8.1.11, 7.4.23, 6.4.50 und 5.4.56 (Status: released). Aktuell ist damit 8.1.11. Laut Wochenrückblick für den 02. bis 08.11.2026 enthält diese Runde viele Security-Fixes. Zwei davon betreffen Zugriffsregeln und verdienen besondere Aufmerksamkeit:

1. CVE-2026-118516 (Routing): Bei Routen mit Host-Platzhaltern kann der CompiledUrlMatcher den Anfang des Pfads dem Platzhalter zuordnen. Pfadbasierte Regeln wie access_control und Firewall-pattern greifen dann nicht, der Controller läuft trotzdem. Der Fix liegt im Dumper, nach dem Update muss der Cache geleert werden.
2. GHSA-3h27-hjv7-fqjx (HttpFoundation, ohne CVE-Nummer veröffentlicht): Request::getPathInfo() entfernt den Script-Namen auch dann, wenn er nur der Anfang eines längeren Pfadsegments ist. /index.phpadmin wird so wie /admin geroutet. Regeln innerhalb von Symfony sind nicht betroffen, Regeln vor PHP in nginx, Apache, CDN oder WAF lassen sich aber umgehen.

Weitere Advisories derselben Runde betreffen unter anderem den Serializer (CVE-2026-118515) und den HtmlSanitizer (CVE-2026-118517). Ob Ihr Projekt betroffene Versionen einsetzt, zeigt Composer direkt:

# Installierte Pakete gegen bekannte Advisories prüfen
composer audit

# Nach dem Update: Cache neu aufbauen (nötig für den Routing-Fix)
php bin/console cache:clear

Symfony 8.2: Was bereits feststeht

Symfony 8.2 ist für November 2026 geplant und setzt PHP 8.4 voraus (Status: in Entwicklung). Die Blogserie „New in Symfony 8.2" stellt die Neuerungen seit September einzeln vor. Die folgenden Features sind dort bereits vorgestellt worden, können sich bis zum Release aber noch im Detail ändern.

8.2.0-BETA1 (Status: Beta)

Seit dem 04.11.2026 lässt sich 8.2 als Beta testen. Ein Release Candidate ist noch nicht erschienen, das finale Release ist weiterhin für November 2026 geplant. Die Ankündigung nennt für den Test drei Composer-Befehle. Projekte, deren Symfony-Pakete nicht mit * eingeschränkt sind, müssen die Constraints zusätzlich von Hand auf 8.2.* setzen.

# Symfony 8.2 Beta in einem eigenen Branch testen
composer config minimum-stability beta
composer config extra.symfony.require "8.2.*"
composer update

In der Woche der Beta hat Symfony außerdem weitere Beiträge der Reihe „New in Symfony 8.2“ veröffentlicht: validierte und kompilierte Expressions, polymorphe Form-Collections, Firewalls und Routen sowie einen HTTP-Recorder.

OpenID Connect Login

Symfony 8.2 bringt einen integrierten Login per OpenID Connect (vorgestellt am 28.09.2026). Für Projekte, die bisher auf Drittanbieter-Bundles für OIDC gesetzt haben, kann sich damit eine Abhängigkeit erübrigen. Ob sich der Umstieg lohnt, hängt davon ab, wie stark das bestehende Bundle angepasst wurde.

Sudo Mode

Der Sudo Mode (vorgestellt am 30.09.2026) verlangt für besonders sensible Aktionen eine erneute Bestätigung der Identität, auch wenn der Nutzer bereits angemeldet ist. Bisher musste diese Logik meist selbst gebaut werden.

Messenger: Outbox und Claim Check

Der Messenger bekommt zwei Muster, die bei verteilten Systemen häufig nachgebaut werden. Das Outbox-Muster sendet Nachrichten atomar zusammen mit Datenbankänderungen, sodass keine Nachricht verloren geht, wenn die Transaktion fehlschlägt. Das Claim-Check-Muster umgeht Größenlimits von Message-Brokern, indem große Nutzdaten ausgelagert und nur eine Referenz verschickt wird. Seit dem 21.10.2026 gibt es außerdem signierte Transports mit Rotation der Signatur-Secrets, seit dem 26.10.2026 ein Inbox-Muster, das bereits verarbeitete Nachrichten überspringt.

KeyManagement-Komponente

Die neue KeyManagement-Komponente bündelt AWS KMS, Azure Key Vault, Google Cloud KMS, HashiCorp Vault und lokale Backends hinter einer gemeinsamen API. Für Doctrine gibt es eine Bridge, mit der sich Spalten verschlüsselt speichern lassen. Symfony kennzeichnet die Komponente als experimentell, die API kann sich also auch in Minor-Versionen noch ändern. Für produktive Projekte heißt das: ausprobieren ja, fest einbauen erst nach Prüfung.

JsonSchema-Komponente

Die JsonSchema-Komponente (vorgestellt am 20.10.2026) erzeugt JSON-Schema- und OpenAPI-Schemas aus PHP-Klassen und Funktionsparametern. Symfony nennt als Einsatzzweck API-Dokumentation und Tool-Definitionen für KI-Agenten, was gut zu Symfony AI passt.

Formulare, Konfiguration und Konsole

Formulare lassen sich in 8.2 attributbasiert definieren. Für die Konfiguration gibt es ein JSON-Schema, das Editoren für Autovervollständigung und Validierung nutzen können. Die Konsole unterstützt Sub-Commands. Zudem führt Symfony die Struktur „One Bundle per Component" ein.

Security und Mailer

Die Rollenhierarchie unterstützt Wildcards, dazu kommt der neue Befehl debug:roles. Der Mailer kann E-Mails per PGP/MIME signieren und verschlüsseln (vorgestellt am 29.09.2026). Serialization Groups werden flexibler (01.10.2026), außerdem kündigt Symfony Performance-Verbesserungen an (02.10.2026).

Weitere Neuerungen aus dem Oktober

Übersetzungen mit HTML lassen sich über einen eigenen Service und Twig-Filter sicherer ausgeben (19.10.2026). Der HttpClient liest HTTP-Trailer aus (22.10.2026). Für MongoDB kommen Cache-Adapter und ein Messenger-Transport dazu (23.10.2026). Außerdem vorgestellt wurden attributbasierte Workflows (14.10.2026), verschlüsselte Doctrine-Spalten (15.10.2026) und ein #[Lock]-Attribut für Controller (16.10.2026).

Was sich seit dem letzten Update geändert hat

1. Update 09.11.2026: Neu ist die Patch-Runde vom 04.11.2026 mit 8.1.11, 7.4.23, 6.4.50 und 5.4.56. Aktuell ist damit 8.1.11.
2. Diese Runde enthält Security-Fixes. Ergänzt sind CVE-2026-118516 (Routing) und GHSA-3h27-hjv7-fqjx (HttpFoundation), die beide Zugriffsregeln betreffen, sowie der Prüfweg über composer audit.
3. Symfony 8.2.0-BETA1 ist am 04.11.2026 erschienen. Ein Release Candidate fehlt noch, das finale Release bleibt für November 2026 geplant.
4. Der Abschnitt zu 8.2 nennt die neuen Beiträge der Reihe „New in Symfony 8.2“ aus der Woche der Beta.
5. Unverändert: Symfony 6.4 LTS erhält Bugfixes bis November 2026 und Sicherheitsfixes bis November 2027.

Einordnung für bestehende Projekte

Für die Versionswahl gilt weiterhin dieselbe Grundregel: Teams mit fester Upgrade-Routine alle sechs Monate fahren mit der jeweils aktuellen 8.x-Version gut. Alle anderen bleiben auf Symfony 7.4 LTS, das bis November 2029 Sicherheitsupdates erhält. Wie Sie diese Entscheidung für Ihr Projekt treffen, beschreibe ich ausführlich im Artikel Symfony LTS oder aktuelle Version.

Wer 8.2 nutzen will, muss zuerst PHP 8.4 einsatzbereit haben. Für Projekte, die noch auf PHP 8.2 laufen, ist deshalb das PHP-Update der erste Schritt. Die Fristen dazu habe ich im Artikel PHP 8.2 End of Life und Symfony 6.4 zusammengestellt. Shopware 6.7 und der Weg zu 6.8

Wer auf 8.1 läuft, sollte den Wechsel auf 8.2 für Dezember 2026 oder Januar 2027 einplanen. Nach dem 31.01.2027 gibt es für 8.1 keinen Support mehr.

Ich teste parallel, welche der bestehenden OIDC-Konfigurationen sich mit dem neuen 8.2-Login vereinfachen lassen. Dieser Artikel wird mit dem 8.2-Release im November aktualisiert.

Dennis Schwenker-Sanders ist PHP- und Symfony-Entwickler und verfolgt die Symfony-Release-Zyklen für Agenturen und Entwicklerteams im DACH-Raum.