Umbraco 13 EOL: dit zijn de echte risico's na 14 december 2026

Op 14 december 2026 bereikt Umbraco 13 zijn end of life. Je website blijft daarna gewoon draaien. Alleen komen er geen beveiligingsupdates meer. Geen bugfixes, geen patches, geen support vanuit Umbraco HQ. Vanaf dat moment staat elke nieuw ontdekte kwetsbaarheid open, en niemand die hem nog dichtzet.

Dat klinkt als een zorg voor later. Maar het is september. Dat is drie maanden voor de deadline. En een upgrade of overstap kost meer tijd dan de meeste organisaties denken.

Er is waarschijnlijk al een blog voorbijgekomen over waaróm je zou moeten upgraden. Dit stuk gaat over iets anders: wat er ná 14 december concreet misgaat als je op Umbraco 13 blijft zitten. Zodat je precies weet welk risico je loopt, en wat je er nu nog aan kunt doen.

Wat betekent Umbraco end of life eigenlijk?

End of life betekent dat Umbraco HQ stopt met het onderhouden van die versie. Geen updates, geen technische ondersteuning en, dit is de belangrijke, geen beveiligingspatches meer.

Je site stort niet in op 14 december. Hij blijft doen wat hij deed. Het probleem zit niet in vandaag, maar in alles wat er daarna nog ontdekt wordt.

En je bent eigenlijk al verder dan je denkt. Umbraco 13 zit sinds december 2025 in de security-only fase. Bugfixes krijg je dus nu al bijna een jaar niet meer. Na 14 december vallen ook de beveiligingspatches weg. Dan is het echt op.

Dit gaat er ná 14 december concreet mis

Geen beveiligingspatches meer

Dit is de kern. Zolang een versie ondersteund wordt, dicht Umbraco kwetsbaarheden zodra ze bekend zijn. Na de EOL-datum gebeurt dat niet meer.

Het vervelende is dat kwetsbaarheden vaak juist ná EOL openbaar worden. Aanvallers weten precies welke versies geen patches meer krijgen en zoeken daar gericht op. Een bekende, niet-gedichte kwetsbaarheid in een populair CMS is zo ongeveer de makkelijkste ingang die er is.

De fundering onder je site valt zelfs eerder weg

Umbraco 13 draait op .NET 8. En laat Microsoft de support daarop nou net iets eerder stoppen: op 10 november 2026. Dus nog vóór Umbraco zelf.

Dat betekent dat niet alleen het CMS, maar ook de technische laag eronder onbeschermd komt te staan. Belangrijk om te weten: verlengde support op Umbraco (XLTS, daar kom ik zo op terug) dekt die .NET-laag niet.

Een datalek wordt meteen een AVG-probleem

Op je site staan persoonsgegevens. Formulierinzendingen, nieuwsbriefaanmeldingen, misschien een klantportaal of accountgegevens. Draait dat op software die geen patches meer krijgt, dan wordt een datalek geen "als" maar een "wanneer".

En een datalek is niet alleen een IT-incident. Onder de AVG moet je een lek melden bij de Autoriteit Persoonsgegevens, en soms ook bij de mensen om wie het gaat. De AVG vraagt bovendien om passende technische maatregelen (artikel 32). Bewust blijven draaien op een CMS waarvan je weet dat het geen beveiligingsupdates meer krijgt, is lastig te verdedigen als "passend". En dat is precies het soort ding waar je directeur je op aanspreekt.

Compliance, audits en je cyberverzekering

Steeds meer organisaties werken onder eisen die ergens ondersteunde software verplichten. Een cyberverzekering, een ISO-certificering, of een security-audit vanuit een grote klant.

Draai je op een EOL-versie, dan kun je zomaar niet meer voldoen. In het ergste geval keert je verzekering bij een incident niet uit, precies op het moment dat je hem het hardst nodig hebt.

Koppelingen die stilletjes stoppen met werken

Je website staat niet op zichzelf. Er hangen koppelingen aan: je marketing-stack, formulieren, analytics, misschien een CRM. Umbraco HQ garandeert na EOL niet langer dat versie 13 netjes blijft samenwerken met de rest van je omgeving.

Dat gaat zelden met een knal. Het is eerder een formulier dat het ineens niet meer doet, of een integratie die na een update aan de andere kant stilvalt. Klein, maar precies het soort storing dat op jouw bordje belandt.

"Maar mijn site werkt toch gewoon nog?"

Klopt. En dat is precies waarom EOL zo makkelijk te negeren is. Je hebt vast eerder oude software gedraaid zonder dat er iets misging.

Het verschil: dit risico is niet zichtbaar tot het misgaat. Een site die er prima uitziet, kan al maanden een open kwetsbaarheid hebben. Je merkt het pas als iemand er misbruik van maakt, en dan is het te laat om het nog rustig op te lossen.

Upgrade: een kans, geen kostenpost

Tot nu toe ging dit stuk over wat je verliest als je blijft zitten. Maar een upgrade is niet alleen risico afkopen. Je stapt ook over naar een platform dat een stuk meer voor je doet dan je 13-site nu kan. Een paar dingen die dan binnen bereik komen:

Een backoffice die je team echt helpt. Sinds versie 14 is de hele backoffice opnieuw opgebouwd. Sneller, moderner en gemaakt om zelf meer te kunnen zonder voor elke wijziging development nodig te hebben. Voor jou als eindverantwoordelijke betekent dat minder wachten en sneller schakelen.

AI in het CMS, met de teugels in eigen hand. Umbraco heeft met Umbraco.AI een basis gelegd voor AI in de backoffice, waarbij jij bepaalt welk model, welke tone of voice en welke regels gelden voordat AI ook maar iets aanraakt. Daarbovenop komen concrete hulpjes: teksten schrijven en herschrijven, vertalen, SEO-metadata en alt-teksten genereren, telkens met een mens die de laatste knoop doorhakt. Meer content, op meer kanalen, zonder in te leveren op kwaliteit of merk.

Terugkerend werk automatiseren. Umbraco werkt aan geautomatiseerde contentworkflows: reeksen AI-acties en regels die je aan elkaar knoopt voor werk dat zich herhaalt. Denk aan varianten klaarzetten, metadata opschonen of een grote hoeveelheid pagina's consistent houden.

Meer halen uit je bezoekers. Op een actueel platform benut je het volledige Umbraco-ecosysteem, zoals Umbraco Engage voor analytics, A/B-tests en personalisatie. Precies het gereedschap om te zien wat werkt en je conversie te verbeteren, direct vanuit de backoffice.

En onder dat alles ligt .NET 10, goed voor betere performance en schaalbaarheid, en in versie 17 kan de backoffice zelfs over meerdere servers draaien. Je lost dus niet alleen een probleem op, je zet ook een stap vooruit.

Wat je nu kunt doen, met nog drie maanden te gaan

Grofweg zijn er drie routes.

Upgraden naar Umbraco 17. Dat is de huidige LTS-versie, draait op .NET 10 en wordt ondersteund tot eind 2028. Voor de meeste sites is dit de logische stap: je houdt je content, je team blijft in een vertrouwde omgeving en je zit weer jaren goed. En je krijgt er iets voor terug. Alles wat sinds versie 14 is toegevoegd, waaronder de nieuwe AI-mogelijkheden in het CMS, blijft buiten bereik zolang je op 13 zit. Upgraden is dus niet alleen risico wegnemen, het is ook weer vooruit kunnen. Wel eerlijk zijn: de sprong van 13 naar 17 is een echte upgrade, geen updateknopje. Sinds versie 14 heeft Umbraco een compleet nieuwe backoffice en zijn oude editors vervangen. Custom code, packages en koppelingen moeten stuk voor stuk bekeken worden. Daarom is drie maanden krap. Nu beginnen is het verschil tussen rustig plannen en straks in paniek schakelen tegen spoedtarief.

XLTS als noodrem. Red je de upgrade niet voor 14 december? Dan biedt Umbraco Extended Long-Term Support. Tegen betaling blijf je beveiligingspatches krijgen, in blokken van 6, 12 of 24 maanden. Het koopt je tijd om het netjes te plannen. Maar het is uitstel, geen oplossing. En het dekt de .NET-laag dus niet.

Overstappen. Zit je vast bij een bureau dat traag reageert, of je met deze deadline laat zitten? Dan is dit hét moment om over te stappen. Een EOL-deadline is precies het verkeerde moment om afhankelijk te zijn van een partij die de telefoon niet opneemt.

Wat wij zouden doen

Begin met weten waar je staat. Welke versie draai je precies, welke koppelingen en maatwerkmodules hangen eraan, en hoe groot is de stap naar 17 realistisch? Zonder dat beeld is elke inschatting een gok.

Als Umbraco Gold Partner doen we die scan vaker. We kijken naar je huidige 13-site, brengen de upgrade of overstap in kaart en zeggen eerlijk wat we tegenkomen. Ook als dat betekent dat XLTS voor nu de verstandigste keuze is. En zit je nu bij een bureau dat niet thuis geeft: de overstap regelen we met zo min mogelijk gedoe voor jou.

Drie maanden lijkt lang. Dat is het niet. Laat je Umbraco 13-site bekijken zolang je nog rustig kunt kiezen.