Wir ziehen Ihre Lucee-, ColdFusion- oder PHP-Anwendung vom klassischen Hosting in Container um, ohne sie neu zu schreiben. So lässt sich die Umgebung nachbauen, aktualisieren und verlegen. Manche Hoster berechnen Aufschläge für alte PHP-Versionen, für PHP 8.2 enden die Sicherheits-Updates am 31.12.2026 (Stand: 2026-10).
Lucee: Welche Versionen noch Updates erhalten, mit Quellen
Welche Lucee-Version erhält noch Sicherheits-Updates? Laut Lucee-Projekt hat Lucee 5.4 sein Lebensende erreicht, Lucee 6.2 ist der Zweig mit Langzeitsupport (LTS) und Lucee 7 die aktuelle stabile Linie (Stand: 2026-10). Die Zeitleiste nennt die Termine und die Sicherheitshinweise aus den Veröffentlichungen des Projekts, dazu kommt eine Prüfliste für Betreiber.
- Alle Termine mit Quelle, Stand: 2026-10
- ColdFusion und Lucee seit 2015 in Produktivsystemen
Veröffentlicht: 2026-10-26 · Stand: 2026-10 · Redaktion Prownex
Was die Zeitleiste zeigt und wie Sie sie lesen
Das Lucee-Projekt nennt den Status seiner Zweige auf der Startseite seiner Dokumentation, nicht in einer Matrix mit Enddaten. Es führt einen Zweig mit Langzeitsupport (LTS) neben der aktuellen stabilen Linie: Der LTS-Zweig erhält laut Projekt keine neuen Funktionen, nur kritische Fehlerkorrekturen und Korrekturen von Regressionen. Lucee 6.2 ist dieser LTS-Zweig, Lucee 7 die aktuelle stabile Linie, und Lucee 5.4 hat am 31.12.2025 sein Lebensende erreicht; Lucee 5.3 und älter werden ebenfalls nicht mehr unterstützt (Stand: 2026-10).
Die Zeitleiste ist nach Datum geordnet, jede Zeile nennt ein Ereignis und seine Quelle. Ein Datum in der Vergangenheit beschreibt einen Zustand und kein Abschaltdatum: Die Anwendung läuft weiter, für neu entdeckte Lücken gibt es aber keinen Patch.
Die Version Ihrer Installation zeigt der Lucee Administrator auf seiner Übersichtsseite. Im Code steht sie in der Variablen server.lucee.version. Was Lucee ist und worin es sich von Adobe ColdFusion unterscheidet, erklärt der Artikel Was ist Lucee?.
Support-Termine und Sicherheitshinweise von Lucee
| Datum | Ereignis | Quelle |
|---|---|---|
| 2025-03-05 | Das Lucee-Projekt veröffentlicht den Sicherheitshinweis zu CVE-2023-38693 (kritisch). Laut Projekt betrifft die Lücke alle früheren Releases; behoben in Lucee 5.4.3.2 und 5.3.12.1. | github.com (öffnet in einem neuen Fenster) |
| 2025-04-08 | Das Lucee-Projekt veröffentlicht den Sicherheitshinweis zu CVE-2024-55354 (hoch). Behoben in Lucee 5.4.7.3 und 6.1.1.118; laut Projekt betrifft die Lücke vor allem Shared- und Multi-Tenant-Hosting. | github.com (öffnet in einem neuen Fenster) |
| 2025-11-03 | Lucee 7.0.0.395 erscheint als stabiles Release der Linie 7.0. | dev.lucee.org (öffnet in einem neuen Fenster) |
| 2025-12-31 | Lucee 5.4 LTS: Lebensende. Laut Projekt keine Sicherheits-Updates mehr. | docs.lucee.org (öffnet in einem neuen Fenster) |
| 2026-02-18 | Roadmap 2026: Lucee 6.2 ist der LTS-Zweig mit nur noch kritischen Fehlerkorrekturen, Lucee 7.0 das aktuelle stabile Release; das nächste LTS soll Lucee 7 werden. | dev.lucee.org (öffnet in einem neuen Fenster) |
| 2026-10-05 | Das Lucee-Projekt übernimmt die Korrektur für CVE-2026-29519 (reflektiertes Cross-Site-Scripting in der Fehlerseite) in die Linie 7.1. Welches Release sie enthält, ist zu prüfen; einen Sicherheitshinweis hat das Projekt nicht veröffentlicht. | github.com (öffnet in einem neuen Fenster) |
Lucee-Zweige im Überblick (Stand: 2026-10)
| Version | Status laut Lucee-Projekt | Was das für Betreiber bedeutet |
|---|---|---|
| Lucee 5.3 und älter | Nicht mehr unterstützt | Upgrade auf 6.2 LTS oder Lucee 7. |
| Lucee 5.4 LTS | Lebensende seit dem 31.12.2025 | Keine Sicherheits-Updates mehr. Ein Upgrade auf 6.2 LTS oder Lucee 7 steht an. |
| Lucee 6.0 und 6.1 | Als ältere Releases geführt | Die Roadmap 2026 nennt nur 6.2 LTS und Lucee 7 als aktuelle Linien. Planen Sie den Wechsel. |
| Lucee 6.2 LTS | Zweig mit Langzeitsupport, kein Ende angekündigt; aktuelles Release 6.2.9.4 | Nur kritische Fehlerkorrekturen und Regressionen, keine neuen Funktionen. Unterstützt javax- und Jakarta-Servlets (Tomcat 10 und neuer). |
| Lucee 7.0 | Stabil seit dem 03.11.2025, erhält weiter Fix-Releases | Nur Jakarta-Servlets (Tomcat 10 oder neuer); Java 11, 21 und 24. |
| Lucee 7.1 | Aktuelles stabiles Release, 7.1.0.204 | Java 25 als Basis; der Mailversand (SMTP) wandert in eine Erweiterung, prüfen Sie ihn bei jedem Upgrade. Das nächste LTS soll Lucee 7 werden. |
| Lucee 8.0 | Beta, nicht für den Produktivbetrieb | Der aktive Entwicklungszweig des Projekts. |
Was das für Betreiber bedeutet
Sobald ein Zweig keine Updates mehr erhält, bleiben neu entdeckte Sicherheitslücken offen. Was das für Sie heißt, hängt von der Version ab (Stand: 2026-10):
- Lucee 5.4 und älter: Es gibt keine Sicherheits-Updates mehr. Ein Upgrade steht an, bis dahin bleibt nur die Absicherung des Umfelds.
- Lucee 6.0 und 6.1: Das Projekt führt sie als ältere Releases und nennt nur 6.2 LTS und Lucee 7 als aktuelle Linien. Planen Sie den Wechsel.
- Lucee 6.2 LTS und Lucee 7: Beide erhalten Updates. Die Download-Seite nennt 6.2.9.4 als aktuelles LTS-Release und 7.1.0.204 als aktuelles stabiles Release.
Seine Sicherheitshinweise veröffentlicht das Lucee-Projekt in seinem GitHub-Repository. Für CVE-2023-38693 und CVE-2024-55354 stehen die Korrekturen in den Releases, die die Zeitleiste nennt. Für CVE-2026-29519 hat das Projekt am 05.10.2026 eine Korrektur für die Linie 7.1 übernommen und bis zu unserer Prüfung weder einen Sicherheitshinweis noch eine Release-Notiz dazu veröffentlicht; bis ein Release mit der Korrektur installiert ist, kann die Fehlerseite Teile eines präparierten Links zurückgeben.
Entscheidend sind eine unterstützte Version, ein Administrator ohne Zugang aus dem Internet und regelmäßige Updates.
Das sollten Sie jetzt prüfen:
- Welche Version läuft, laut Administrator oder server.lucee.version?
- Ist der Lucee Administrator aus dem Internet erreichbar?
- Welche Java-Version läuft darunter, und passt sie zu Ihrer Zielversion? Laut Projekt unterstützt Lucee 7.0 Java 11, 21 und 24; Lucee 7.1 setzt Java 25 als Basis voraus.
- Versendet Ihre Anwendung E-Mails über Lucee? Ab 7.1 ist der Mailversand eine Erweiterung.
- Gibt es ein Backup, dessen Wiederherstellung getestet ist, und eine Testumgebung für das Update?
Weitere Hintergründe finden Sie auf der Seite ColdFusion & Lucee, auch zum Wechsel von Adobe ColdFusion.
Wie es weitergeht, je nach Ausgangslage
-
-
Ihr Altsystem läuft und enthält Regeln, die niemand neu schreiben will. Wir stellen seine Logik als Web-Service bereit und schließen bekannte Lücken einmalig. Vergleichstests prüfen, ob die Funktion gleich bleibt, und das Neue entsteht daneben im neuen Stack.
Die Installation prüfen lassen, mit festem Umfang und festem Preis
ColdFusion-Check
Für Unternehmen mit einer Anwendung auf Adobe ColdFusion oder Lucee, die wissen wollen, ob ihre Installation noch unterstützt und sicher betrieben wird.
- Version und Patch-Stand (Adobe ColdFusion 9 bis 2025, Lucee 5 bis 7)
- Erreichbarkeit von Administrator und RDS
- JVM, Tomcat und TLS
- Backups, geplante Tasks, Datenquellen und Mailversand mit cfmail
- Optionen: mit Patches bleiben, Version anheben oder zu Lucee migrieren
Anwendungslogik und Code sind nicht Teil des Checks, dafür gibt es den Legacy-Review. Den Aufwand einer Migration schätzen wir in einem eigenen Angebot.
Was das Ergebnis enthält
Eine schriftliche Ergebnisliste nach Priorität, mit den Optionen und einer Empfehlung. Die Liste gehört Ihnen.
Quellen
Die Angaben stammen aus den folgenden Veröffentlichungen der Projekte (Stand: 2026-10):
- Lucee-Dokumentation: Startseite (öffnet in einem neuen Fenster) für den Status von Lucee 5.4, 6.2 und 7.
- Lucee-Dokumentation: Systemanforderungen (öffnet in einem neuen Fenster) für Java- und Servlet-Anforderungen je Version.
- Lucee-Downloads (öffnet in einem neuen Fenster) für die aktuellen LTS-, stabilen und Beta-Releases.
- Lucee-Dev-Forum: Roadmap 2026 (öffnet in einem neuen Fenster) für die Bedeutung von LTS und die Pläne für 7.1 und 8.0.
- Lucee-Sicherheitshinweise auf GitHub (öffnet in einem neuen Fenster) für CVE-2023-38693 und CVE-2024-55354.
- Lucee auf GitHub: die Korrektur für CVE-2026-29519 (öffnet in einem neuen Fenster).
Fragen zu Lucee-Versionen und Updates
Ist meine Lucee-Version noch sicher?
Das hängt vom Zweig ab. Laut Lucee-Projekt hat Lucee 5.4 am 31.12.2025 sein Lebensende erreicht und erhält keine Sicherheits-Updates mehr; Lucee 6.2 ist der Zweig mit Langzeitsupport und Lucee 7 die aktuelle stabile Linie, beide erhalten Updates (Stand: 2026-10). Seine Sicherheitshinweise veröffentlicht das Projekt auf GitHub: Die Korrekturen für CVE-2024-55354 stehen in Lucee 5.4.7.3 und 6.1.1.118, für CVE-2026-29519 hat das Projekt im Oktober 2026 eine Korrektur für die Linie 7.1 übernommen.
Ebenso wichtig ist die Einrichtung: ein Lucee-Administrator, der aus dem Internet nicht erreichbar ist, eine aktuelle Java-Laufzeitumgebung und regelmäßig eingespielte Updates. Mit dem ColdFusion-Check prüfen wir auch Lucee-Installationen und sagen Ihnen, ob ein Update fällig ist. Alle Termine mit Quelle stehen in Lucee: Support-Ende im Überblick.
Wer sorgt bei Lucee für Updates und Support?
Das Lucee-Projekt veröffentlicht Releases und Sicherheits-Updates. Einspielen und absichern müssen Sie sie selbst oder durch einen Dienstleister (Stand: 2026-10).
Diese Pflege übernehmen wir auf Wunsch: Updates, Absicherung des Administrators, Monitoring und Backups. Das klären wir vor der Migration, damit die Pflege nach dem Umschalten nicht offen bleibt.
Läuft unsere Anwendung unverändert auf Lucee?
Das lässt sich nicht pauschal sagen. Lucee setzt CFML um, aber nicht jede Funktion verhält sich wie bei Adobe ColdFusion. Typische Stolpersteine sind Adobe-spezifische Tags und Funktionen sowie die PDF-Ausgabe. Hinzu kommen Einstellungen aus dem ColdFusion Administrator, etwa Datenquellen, geplante Tasks und der Mailversand.
Unsere Ingenieure haben Anwendungen von Adobe ColdFusion zu Lucee migriert und planen Prüfungen und Tests von Anfang an ein. Wie gut Ihr Code zu Lucee passt, prüfen wir im Legacy-Review oder in der ersten Phase der Migration, bevor Sie entscheiden. Mehr dazu auf der Seite ColdFusion und Lucee.
Kennen Sie nur Adobe ColdFusion oder auch Lucee?
Beides. Unsere Ingenieure arbeiten seit 2015 ununterbrochen mit ColdFusion und Lucee in Produktivsystemen. Das umfasst Adobe ColdFusion von Version 9 bis 2025 und Lucee 5, 6 und 7. Dazu kommen ColdSpring, eigene Frameworks und die Migration von Adobe ColdFusion zu Lucee.
In 20 Minuten klären wir, welcher erste Schritt zu Ihrem System passt
Sie schildern Ziel und Stand, wir sagen offen, ob und wie wir helfen können. Antwort innerhalb eines Werktags, unverbindlich.
Telefon (Deutsch, Polnisch, Englisch)
+48 501 250 220
E-Mail
E-Mail
Erreichbar: Montag bis Freitag, 9:00 bis 17:00 Uhr (MEZ); Support und Notfälle rund um die Uhr (24/7)