Kısa cevap: 2026–2027'nin üç kritik tarihi şunlar: .NET 8 ve .NET 9 için 10 Kasım 2026, PHP 8.2 için 31 Aralık 2026, Windows Server 2016 ve .NET Framework 4.6.2 için 12 Ocak 2027. Bu tarihlerde hiçbir sistem kapanmaz; sunucu da uygulama da çalışmaya devam eder. Biten şey, yeni bulunan açıklara karşı yayımlanan güvenlik yamalarıdır. İyi bir legacy sistem modernizasyonu tarihe değil sıraya göre ilerler: envanter, bağımlılık zinciri, her sistem için ayrı karar (yükseltme, taşıma, refactor, strangler fig, yeniden yazım ya da emeklilik) ve geri dönüş planı olan kademeli geçiş. Microsoft'un ESU programı bu yolda en fazla üç yıllık, koşullu bir köprüdür; varış noktası değildir.
Bu rehber; şirket içi ya da hibrit altyapı kullanan işletmelerin BT yöneticileri, CTO'ları ve sahipleri, PHP/Laravel ya da .NET uygulamalarının bakımını yapan ekipler ve 2027 BT bütçesini hazırlayanlar için yazıldı. Tarihleri üreticilerin yaşam döngüsü sayfalarından ve resmî duyurularından doğruladık; fiyat vermiyor, hukuki yorum yapmıyoruz. Bilgiler 31 Ekim 2026 itibarıyla günceldir.
2026–2027 destek sonu takvimi: Hangi yazılım ne zaman yama almayı bırakıyor?
| Tarih | Yazılım | Hedef / not |
|---|---|---|
| Bitti: standart güvenlik desteği yok | ||
| 14 Ekim 2025 | Exchange Server 2016/2019, Windows 10 (LTSC sürümleri hariç) | Windows 10 ticari ESU'su en geç 10 Ekim 2028 |
| 12 Mart 2026 | Laravel 11 | Laravel 13 (PHP 8.3+ ister) |
| Nisan 2026 | MySQL 8.0 (son: 8.0.46) | MySQL 8.4 LTS |
| 30 Nisan 2026 | Node.js 20 | Node.js 24 ya da 26 |
| 6 Temmuz 2026 | MariaDB 10.6 | MariaDB 11.8 ya da 12.3 LTS |
| 14 Temmuz 2026 | SQL Server 2016, SharePoint Server 2016/2019 | SQL Server 2016 için ESU: Temmuz 2029'a kadar (3 yıl) |
| 1 Ekim 2026 | Python 3.10 | Python 3.13 ya da 3.14 |
| 13 Ekim 2026 | Office 2021 ve Office LTSC 2021; Windows Server 2012/2012 R2 ESU'su | ESU'nun 3. ve son yılı bitti; 2012/2012 R2 için artık güvenlik güncellemesi yok |
| Yaklaşıyor | ||
| 10 Kasım 2026 | .NET 8 (LTS) ve .NET 9 (STS) | .NET 10 LTS (14 Kasım 2028'e kadar) |
| 12 Kasım 2026 | PostgreSQL 14 | PostgreSQL 17 ya da 18 |
| 31 Aralık 2026 | PHP 8.2 (8.1 zaten bitti) | PHP 8.4 (31 Aralık 2028'e kadar); 8.3 yalnızca 31 Aralık 2027'ye kadar |
| 12 Ocak 2027 | Windows Server 2016, .NET Framework 4.6.2 | ESU başlıyor; Windows Server 2025 (14 Kasım 2034'e kadar) ya da bulut |
| 24 Şubat 2027 | Laravel 12 | Laravel 13 (17 Mart 2028'e kadar) |
| 13 Nisan 2027 | Visual Studio 2017 | Güncel Visual Studio |
| 30 Nisan 2027 | Node.js 22 | Node.js 24 ya da 26 |
| Mayıs 2027 | Ubuntu 22.04 LTS (standart bakım) | Ubuntu 24.04 LTS; Ubuntu Pro ile 22.04 bakımı Mayıs 2032'ye uzar |
| 12 Temmuz 2027 | SQL Server 2014 ESU'su | ESU'nun 3. ve son yılı biter; hedef SQL Server 2022 ya da 2025 |
| Ekim 2027 | Python 3.11 | Python 3.13 ya da 3.14 |
| 12 Ekim 2027 | SQL Server 2017 | SQL Server 2022 ya da 2025 |
| 11 Kasım 2027 | PostgreSQL 15 | PostgreSQL 17 ya da 18 |
Tarih notu: Microsoft'un yaşam döngüsü sayfaları bitişi Pasifik saatiyle ve ertesi gün 06:59:59 olarak gösterir (Windows Server 2016 için "1/13/2027 6:59:59 AM"); tabloda Microsoft'un duyurularındaki günleri kullandık. Windows Server 2016'nın kesim anı Türkiye saatiyle 13 Ocak 2027, 17:59:59. Açık kaynak projelerin ileri tarihleri plan niteliğindedir; Python 3.11 için şimdilik yalnızca ay belli.
End of support ne demek? Legacy sistem nedir?
Legacy sistem: Kritik işleri hâlâ yürüten ama teknolojisi, sürümü ya da bilgi birikimi eskimiş, değiştirmesi zorlaşmış, çoğu zaman üretici desteği bitmiş ya da bitmek üzere olan yazılım veya altyapı.
End of support (destek sonu): Üreticinin bir sürüm için güvenlik güncellemesini, hata düzeltmesini ve teknik desteği kestiği tarih. Yazılım çalışmaya devam eder; yeni açıklar kapatılmaz.
Microsoft'un Sabit Yaşam Döngüsü İlkesi'ne bağlı ürünlerde önce ana akım destek biter; genişletilmiş destek döneminde güvenlik güncellemeleri ek ücret olmadan sürer. Asıl kırılma genişletilmiş desteğin bittiği gündür; sonrasında güvenlik güncellemesi yalnızca bazı ürünler için sunulan ESU programıyla alınabilir. Açık kaynak projelerde bunun karşılığı EOL (end of life) tarihidir: php.net, EOL sürüm kullanıcılarının yamalanmamış açıklara maruz kalabileceğini ve en kısa sürede yükseltme yapmaları gerektiğini yazıyor. Microsoft'un .NET destek politikası daha da açık: "Destek dışı yazılım kullanmamanız şiddetle önerilir."
Karıştırmayın: Windows Server 2022'nin ana akım desteği 13 Ekim 2026'da bitti, ama güvenlik yamaları Ekim 2031'e kadar sürüyor.
"Çalışıyor, dokunmayalım" neden pahalıya patlayabilir?
Güvenlik: PHP2Shell adıyla anılan iki açık (CVE-2026-109618 ve CVE-2026-109619; CVSS v4.0 puanı 9.2, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırma) 21 Ekim 2026'da desteklenen tüm dallarda resmî sürümlerle kapatıldı. Desteği bitmiş 7.4, 8.0 ve 8.1 için ise PHP güvenlik ekibi, açıkların ciddiyeti nedeniyle istisnai olarak yalnızca asgari kaynak kodu yamaları paylaştı (ayrıntılar PHP2Shell yazımızda). Bir sonraki açıkta bunun garantisi yok.
KVKK: 6698 sayılı Kanun'un 12. maddesi veri sorumlusuna "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri" alma yükümlülüğü getiriyor. KVKK'nın Kişisel Veri Güvenliği Rehberi de yaygın kullanılan bazı yazılımların özellikle eski sürümlerinde belgelenmiş açıklar bulunduğunu belirtiyor; yama yönetimi ve yazılım güncellemelerini önemli unsurlar arasında sayıyor. Hukuki değerlendirme hukuk danışmanınızın işi; teknik gerçek şu: yaması çıkmayan bir sistemde yama yönetimi yapılamaz.
Üretici: Microsoft 365 Apps'in Windows Server 2016 üzerindeki desteği 14 Ekim 2025'te bitti; bu sunuculardaki kurulumlar Sürüm 2602'de sabitlendi ve 10 Ekim 2028'e kadar yalnızca güvenlik güncellemesi alacak. Office'i bu sürümdeki bir uzak masaüstü (RDS) sunucusundan kullananlar, işletim sistemiyle Office'i birlikte planlamalı.
İlk adım envanter: Legacy sistem envanteri 5 iş gününde nasıl çıkarılır?
Önerimiz envanteri bir iş haftasına sığdırmak: amaç kusursuz bir varlık listesi değil, karar verdiren tek bir tablo. Her sistem için şunları yazın:
- Sunucu ve işletim sistemi: sürüm, fiziksel mi sanal mı, nerede çalıştığı.
- Çalışma zamanı ve framework: PHP, .NET, .NET Framework, Node.js, Python ve Laravel sürümleri; paket bağımlılıkları.
- Veritabanı: SQL Server, MySQL/MariaDB ya da PostgreSQL sürümü.
- Barındırma: cPanel/CloudLinux, IIS, şirket içi sunucu ya da bulut.
- Entegrasyonlar: ERP, e-Fatura entegratörü, sanal POS, kargo, pazaryeri.
- Lisans: aktif Software Assurance, abonelik ya da SPLA var mı? Şirket içinde ESU alıp alamayacağınızı bu belirler.
- İş sahibi: sistem durursa hangi süreç durur, kararı kim verir?
- Test kapsamı: bir yükseltmeyi kim, nasıl doğruluyor?
- Yedek ve geri dönüş: son geri yükleme testi ne zaman yapıldı?
Sonra her sistemi iki eksende puanlayın: aciliyet (destek bitti mi, yoksa 6 ay, 12 ay ya da daha uzun süre mi var?) ve iş etkisi (ciro, operasyon, yasal yükümlülük). İki eksende de yüksek puan alanlar ilk dalgayı oluşturur; diğerleri takvime yerleşir.
Tek tarih değil, bağımlılık zinciri: Hangi yükseltme hangisini tetikler?
Bir yükseltme çoğu zaman başka bir yükseltmeyi tetikler; zinciri görmezseniz aynı sisteme bir yıl içinde iki kez el atmak zorunda kalırsınız. Veritabanlarında yükseltme kuralları üreticiye göre değişir: MySQL, LTS serileri arasında seri atlamayı desteklemiyor; MariaDB ise eski sürümlerden en yeni sürüme ara adımsız geçişi destekliyor.
Windows Server 2016 end of support: .NET Framework 4.6.2 ve SQL Server aynı zincirde
.NET Framework 4.6.2'nin desteği Windows Server 2016 ile aynı gün bitiyor. 4.7–4.8.1 için ayrı bir bitiş tarihi yok; bu sürümler Windows bileşeni sayıldığından kurulu oldukları işletim sisteminin ömrünü izler. Yani Windows Server 2016 üzerindeki 4.8 de aynı gün destek dışı kalır. Microsoft'a göre 4.6.2 ve sonrası yerinde (in-place) güncellemedir; eski 4.x uygulamalarının yeniden derlenmeden çalışması beklenir, yine de önce test ortamında doğrulayın. .NET Framework, .NET 8'den ayrı bir üründür. ERP veritabanınız SQL Server 2014 ya da 2016 üzerindeyse hedef sürümü ERP üreticinizin destek listesi belirler; üreticiler entegrasyon kurallarını da değiştirebilir (Mikro V17'nin resmî API'ye geçişi gibi).
.NET 8 end of support: .NET 9'a değil, .NET 10'a
Microsoft Eylül 2025'te STS desteğini 18 aydan 24 aya çıkardığı için .NET 9 da 10 Kasım 2026'da bitiyor; .NET 9'a geçmek bir gün bile kazandırmaz. Hedef, 14 Kasım 2028'e kadar desteklenen .NET 10 LTS. NuGet paketlerinin uyumluluğunu, kırıcı değişiklikleri ve derleme/dağıtım hattını birlikte test edin.
PHP 8.2 EOL: Laravel 12 ve hosting zinciri
Laravel 12'nin güvenlik desteği 24 Şubat 2027'de bitiyor ve Laravel 13, PHP 8.3–8.5 istiyor: PHP 8.2 üzerindeki bir Laravel 12 uygulaması için bu, iki ay içinde iki yükseltme demek. Laravel 12 PHP 8.4'ü de desteklediği için adımları ayırın: önce PHP 8.4, sonra Laravel 13. cPanel/CloudLinux'ta PHP sürümü genellikle hesap ya da alan adı bazında seçilir; yükseltmeden önce Composer bağımlılıklarını, şifrelenmiş (encoded) modülleri ve PHP eklentilerini kontrol edin.
Yeniden yazmak mı, refactor mu? Legacy sistem modernizasyonunda altı yol ve karar matrisi
Doğru yol, sistemin durumuna ve işin kesintiye ne kadar dayanabildiğine bağlı:
| Yol | Ne zaman mantıklı? | Risk ve kesinti | Ön koşul |
|---|---|---|---|
| Yerinde yükseltme | Kod sağlıklı, yalnızca platform eski (ör. PHP 8.2 → 8.4) | Düşük-orta; kısa bakım penceresi | Regresyon testi, yedek, geri dönüş adımı |
| Taşıma (rehost / replatform) | Uygulama sağlam, sunucu/işletim sistemi eski | Orta; ağ, lisans ve performans sürprizleri | Bağımlılık haritası, paralel çalıştırma |
| Refactor | Sistem çalışıyor ama her değişiklik pahalı | Kesinti düşük; test yoksa regresyon riski yüksek | Karakterizasyon testleri |
| Strangler fig | Kritik, durdurulamaz ama parçalara ayrılabilir | Kesinti düşük; geçiş mimarisi ve veri senkronizasyonu maliyeti | Yönlendirme katmanı, özellik bayrakları |
| Yeniden yazım | Sistem küçük, iş kuralları belgeli ya da iş modeli değişmiş | En yüksek; gözden kaçan davranışlar | Belgeli kurallar, kaynak kod ve bilgi sahipliği |
| Emeklilik / SaaS | Hazır bir ürün işi görüyor ya da süreç artık gereksiz | Veri taşıma, süreç uyumu, tedarikçi bağımlılığı | Veri dışa aktarımı |
Yolu dört soru belirler:
- Test var mı? Yoksa ilk iş, mevcut davranışı kaydeden karakterizasyon testleridir.
- İş kuralları belgeli mi, kaynak kod ve bilgi kimde? Belgesiz kurallar, ayrılmış bir tedarikçi ya da kaynak kodu elinizde olmayan modüller seçenekleri daraltır.
- Kaç entegrasyon, kaç kullanıcı var? Her entegrasyon ayrı bir geçiş testidir.
- Hangi düzenlemeler geçerli? KVKK ve e-Fatura kuralları, verinin geçişte nasıl tutulacağını etkiler.
Sunucu yer değiştirecekse bulut migrasyonu da karara girer. Hazır ürün ile özel geliştirme dengesini özel yazılım mı, hazır yazılım mı ve şirkete özel ERP ve CRM yazılarımızda ele aldık. Sistemi bilen kimse kalmadıysa karar sürecini bir fractional CTO yönetebilir.
Strangler fig deseni: Sistemi kapatmadan parça parça yenilemek
Ad, Martin Fowler'ın benzetmesinden geliyor: boğan incir (strangler fig) bir ağacın üzerinde filizlenir, kök salıp büyüdükçe zamanla konak ağacın yerini alır. Fowler, eski sistemi birebir yeniden yazma planlarının çoğu zaman başarısız olduğunu gözlemliyor: mevcut davranışın ayrıntılarını çıkarmak zordur, üstelik bu davranışın önemli bir kısmı aslında istenmeyen şeylerdir. Kademeli yol, iş bitince atılacak bir geçiş mimarisi ister; Fowler'a göre azalan risk ve erken değer bu maliyetten ağır basar. Microsoft'un mimari rehberinde de istemciyle iki sistem arasına bir cephe (proxy) konur, işlevler taşındıkça yönlendirme yeni sisteme kayar. Varsayımsal bir örnek:
- PHP 8.2 üzerindeki eski bir bayi portalının önüne API ağ geçidi konur; trafik hâlâ eski koda gider.
- Sipariş API'sinin bugünkü davranışı karakterizasyon testleriyle kaydedilir ve yeni bir serviste yazılır.
- Ağ geçidi sipariş yolunu bir özellik bayrağıyla önce pilot bayilere açar; sorun çıkarsa bayrak kapanır, trafik eski koda döner.
- En zor kısım veridir: iki sistem aynı siparişleri görmeli. Ortak veritabanı ya da değişiklik verisi yakalama (CDC) ile senkronizasyon kurulur, tutarlılık doğrulanır.
- Diğer modüller sırayla taşınır; eski portal en son kapanır.
ESU nedir? Genişletilmiş Güvenlik Güncelleştirmeleri köprü mü, tuzak mı?
Microsoft, Windows Server 2016 için ESU'yu 25 Şubat 2026'da duyurdu; program 12 Ocak 2027'de başlıyor. Microsoft'un tanımıyla ESU, son çare niteliğinde ücretli bir seçenek: kalıcı çözüm değil, yeni platforma geçerken geçici bir köprü. ESU SSS sayfasındaki genel koşullar şunlar (sayfa bugün Windows Server 2012/2012 R2 ve Windows 10 programlarını anlatıyor):
- Süre ve kapsam: genişletilmiş desteğin bitişinden sonra en fazla üç yıl; yalnızca Kritik ve Önemli güvenlik güncellemeleri, genel teknik destek yok.
- Azure'da: Azure sanal makinelerinde ücretsiz.
- Şirket içinde: ücretli; Azure Arc ile kullandıkça öde ya da toplu lisanslamayla yıllık. Aktif Software Assurance, abonelik lisansı (CSP dahil) ya da SPLA şart.
- Kurallar: Toplu lisanslamada 2. ve 3. yıl, önceki yıllar alınmadan alınamaz; Azure Arc'a geç kaydolursanız kaçan aylar geriye dönük faturalanır.
Windows Server 2016'ya özgü yıl tarihleri, fiyatlar ve koşullar bu yazının tarihinde Microsoft'un yaşam döngüsü sayfasında ve ESU SSS'sinde henüz yer almıyor; Microsoft'tan ya da lisans iş ortağınızdan teyit edin. .NET 8 için Microsoft'un destek politikasında ücretli bir uzatma yer almıyor. PHP 8.2 ise 31 Aralık'tan sonra php.net'ten güvenlik düzeltmesi almayacak; php.net, desteği biten dallar için bazı Linux dağıtımlarının ve LTS sağlayıcılarının geriye taşınmış (backport) düzeltmeler sunduğunu belirtiyor. Bu yolu seçerseniz kapsamı ve süreyi sağlayıcınızla yazılı olarak netleştirin.
Kuralımız basit: ESU'yu bir geçiş tarihine bağlayın. "Bir yıl ESU, şu tarihte taşıma" bir plandır; tarihsiz ESU ise ertelenmiş bir modernizasyon faturasıdır.
2027 BT bütçesi için 90 günlük yol haritası
- Kasım 2026: Envanteri tamamlayın. .NET 8 ve 9 uygulamalarını .NET 10'a taşıyın; 10 Kasım'a yetişmeyenler arasında internete açık olanları öne alın. PostgreSQL 14 yükseltmesini bir kopya üzerinde prova edin.
- Aralık 2026: PHP 8.2 uygulamalarını 8.4'e (bağımlılıklar hazır değilse geçici olarak 8.3'e) yükseltin, Laravel 13 geçişini takvime koyun. Windows Server 2016 için kararı verin: Windows Server 2025, buluta taşıma ya da tarihi belli bir taşımayla ESU.
- Ocak 2027: 12 Ocak'tan önce kararı uygulayın ya da ESU'ya kaydolun. SQL Server 2014 ve 2016 için ERP üreticinizin onayladığı hedef sürümle geçiş penceresi planlayın.
- 2027'nin geri kalanı: 1. çeyrekte Laravel 12; 2. çeyrekte Visual Studio 2017, Node.js 22 ve Ubuntu 22.04; 3. çeyrekte SQL Server 2014 ESU'su; 4. çeyrekte Python 3.11, SQL Server 2017, PostgreSQL 15 ve PHP 8.3.
Bütçe kalemleri: envanter ve danışmanlık; test otomasyonu ve CI/CD hattı; lisanslar (gerekiyorsa ESU); paralel çalıştırma dönemindeki çift altyapı; geri yükleme testi dahil yedekleme ve felaket kurtarma.
Partnerfy legacy sistem modernizasyonunu nasıl yürütür?
Modernizasyonu tek bir büyük proje olarak değil, sistem sistem verilen kararlar dizisi olarak yürütüyoruz. İşe bu yazıdaki listeyle envanter ve risk puanlaması yaparak başlıyor, her sistem için önerdiğimiz yolu gerekçesi ve riskleriyle birlikte yazılı olarak sunuyoruz. Uygulamada önce otomatik regresyon testlerini ve CI/CD hattını kuruyor, her geçişten önce yedek alıp geri dönüş adımlarını prova ediyor, canlıya kademeli çıkıyoruz. Kapsamı yazılım modernizasyonu sayfamızda bulabilir, envanter görüşmesi için iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynaklar
- PHP: Supported Versions, Unsupported Branches, 2026 arşivi
- .NET: Support Policy, STS duyurusu, .NET Framework, .NET Framework SSS
- Windows Server: 2016, 2012, 2012 R2, 2022, 2025, blog duyurusu
- Yaşam döngüsü ve ESU: Sabit Yaşam Döngüsü İlkesi, ESU sayfası, ESU SSS
- SQL Server: 2014, 2016, 2017, 2022, 2025
- Diğer: Office 2021, Office LTSC 2021, Exchange 2016, Exchange 2019, SharePoint 2016, SharePoint 2019, Visual Studio 2017, Windows 10, Microsoft 365 Apps
- Veritabanları: MySQL 8.0, MySQL LTS, MariaDB, PostgreSQL
- Çalışma zamanları: Node.js, Python, Laravel, Ubuntu
- Barındırma: cPanel MultiPHP Manager, CloudLinux PHP Selector
- Desenler: Martin Fowler – Strangler Fig, Microsoft – Strangler İncir Deseni
- KVKK: 6698 sayılı Kanun, Kişisel Veri Güvenliği Rehberi