Umbraco 18 is uit. Waarom u beter naar 17 kunt upgraden

Umbraco 18 krijgt twaalf maanden securitypatches. Umbraco 17 krijgt er zesendertig.

Dat ene verschil beantwoordt vrijwel de hele vraag die sinds 25 juni rondzingt bij iedereen met een Umbraco-site: moeten we mee naar 18?

Voor vrijwel elke MKB-website is het antwoord nee. Ga naar 17 en blijf daar tot eind 2028.

Hieronder de cijfers waarop dat advies rust, wat er wél in Umbraco 18 zit, en — belangrijker — wat een upgrade u realistisch kost als u nu nog op versie 13 draait.

Het hele verhaal zit in de supporttabel

Umbraco brengt twee majorversies per jaar uit. Eén daarvan is LTS (Long-term Support), de andere STS (Standard-term Support).

Een LTS-versie krijgt 6 maanden actieve ontwikkeling, daarna 18 maanden bugfixes en tot slot 12 maanden alleen securitypatches. Totaal 36 maanden.

Een STS-versie krijgt 6 + 3 + 3 maanden. Totaal 12.

Umbraco 17 is LTS. Umbraco 18 is STS. Dat is het hele verhaal.

Wie in juni 2027 nog op Umbraco 18 draait, moet dus opnieuw upgraden — naar 19 of 20, met opnieuw een testronde en opnieuw een factuur.

Wie nu naar 17 gaat, heeft tot november 2028 rust. Dat is twee upgradecycli verschil voor exact hetzelfde werk.

Wat zit er dan wél in Umbraco 18?

Umbraco 18 verscheen op 25 juni 2026 met 177 fixes en features — en met 36 breaking changes. De vier noemenswaardige toevoegingen:

• Elements (fase 1) — een nieuwe Library-sectie in de backoffice waarin u herbruikbare contentblokken centraal beheert, met dezelfde rechten, rollback, tags en geplande publicatie als gewone content.
• Delivery API met typed OpenAPI-schema's per content type. Onder de motorkap is Swashbuckle vervangen door Microsoft.AspNetCore.OpenApi.
• Vernieuwde Deploy-interface met live voortgang, item counts en duidelijkere dialogen.
• Performancewinst in de Tiptap-editor en slimmer gebundelde JavaScript.

Elements is het paradepaardje, en juist daar zit de adder. Fase 1 levert een centrale bibliotheek op, maar de functie waar iedereen op wacht — één blok aanpassen en het overal laten meeveranderen, ín de Block Editors — komt pas met Umbraco 19 in Q4 2026.

U accepteert dus 36 breaking changes en een supporthorizon van twaalf maanden, in ruil voor de eerste helft van een feature.

Voor een bureau dat zijn eigen packages onderhoudt kan dat prima een bewuste keuze zijn. Voor een MKB-site die gewoon moet draaien, is het dat zelden.

De echte vraag is niet 17 of 18

Die vraag is: op welke versie zit u nu? Daar hangt alles van af.

U draait Umbraco 17

Doe niets. U zit op de LTS, u krijgt patches tot november 2028, en Umbraco 19 komt eind dit jaar. Wacht die af.

U draait Umbraco 13

U heeft een deadline: 14 december 2026. Daarna verschijnen er geen securitypatches meer voor versie 13.

Dat is over minder dan vijf maanden. Bugfixes zijn overigens al sinds december 2025 gestopt — u krijgt nu alleen nog beveiligingslekken gedicht.

Begin nu met plannen, niet in november. Een upgrade van 13 naar 17 is geen middagje werk, zoals u hieronder ziet.

U draait Umbraco 14, 15 of 16

U bent al uit support. Umbraco 16 viel op 12 juni 2026 als laatste af; 14 en 15 daarvoor.

Dit is de urgentste categorie: er komen op dit moment geen securitypatches meer binnen voor uw CMS. Naar 17, zo snel als het kan.

Wat kost een upgrade van 13 naar 17 écht?

Hier lopen de schattingen absurd ver uiteen, en beide uitersten kloppen.

Een developer beschreef hoe hij zijn eigen blog in minder dan twee uur van 13.5.2 naar 17.5.3 tilde, inclusief de sprong van .NET 8 naar .NET 10. Bureaus die dit dagelijks doen rekenen daarentegen op 4 tot 12 weken.

Het verschil zit niet in Umbraco. Het zit in wat u er in de loop der jaren omheen heeft gebouwd.

De oorzaak ligt in Umbraco 14. Daar is de complete backoffice herschreven: weg met AngularJS, welkom Web Components, Lit en TypeScript, met een nieuwe Management API eronder. Alles wat u ooit aan de achterkant heeft laten maken, is daarmee ongeldig geworden.

De drie vragen die uw upgrade prijzen

Wilt u binnen tien minuten weten in welke categorie u valt, beantwoord dan deze drie vragen. Samen bepalen ze vrijwel de hele prijs van de upgrade.

Vraag 1: heeft u custom backoffice-extensies? Eigen property editors, dashboards, knoppen of workflows die ooit in AngularJS zijn gebouwd, moeten stuk voor stuk opnieuw in Lit en TypeScript. Dit is verreweg de grootste kostenpost — en de enige vraag die een upgrade van dagen naar maanden kan tillen.

Vraag 2: hoeveel community-packages draait u? Officiële Umbraco-packages zijn bijgewerkt en volgen netjes mee. Community-packages die sinds v13 niet meer zijn aangeraakt, moet u vervangen, zelf porten of laten vallen. Inventariseer ze vóórdat u begint, niet halverwege.

Vraag 3: hoeveel rich text zit er in uw Block Lists en Grids? De editor is van TinyMCE naar Tiptap gegaan. De conversie verloopt automatisch, maar bij duizenden genestelde rich text-velden is dat het moment waarop u wilt kunnen terugrollen.

Drie keer nee betekent: dit is een kwestie van dagen, niet weken. Eén keer nadrukkelijk ja op vraag 1 betekent dat u een echt project plant, met een testomgeving en een acceptatieronde.

Vergeet .NET niet

Umbraco 17 en 18 draaien allebei op .NET 10, dat zelf ook een LTS-release is en tot eind 2028 wordt ondersteund. Umbraco 13 draait op .NET 8.

Die twee levenscycli lopen niet toevallig gelijk: Umbraco brengt zijn LTS bewust kort na een .NET LTS uit. Op 17 zitten betekent dus dat zowel uw CMS als uw framework tot eind 2028 patches krijgt.

Praktisch betekent het ook dat uw hosting mee moet. Minimaal SQL Server 2016 (of SQLite), en een .NET 10-runtime. Draait uw site nog op een oudere Windows-server, reken die stap dan mee in de planning.

Aanstaande dinsdag: securitypatch voor Umbraco Forms

Los van alle versiediscussie is er iets dat deze week aandacht vraagt.

Op 28 juli 2026 om 08:00 UTC brengt Umbraco een securitypatch uit voor Umbraco Forms met de classificatie high. Getroffen zijn Forms 13.0.0 tot 13.9.7, 17.0.0 tot 17.4.6 en 18.0.0 tot 18.0.4.

Umbraco publiceert de technische details pas op het moment dat de patch beschikbaar is, zodat iedereen tegelijk kan bijwerken. De fix zelf is volgens Umbraco eenvoudig.

Praktisch: gebruikt uw site Umbraco Forms, plan dan dinsdagochtend een update in. Dit is precies het soort ding dat maandenlang blijft liggen op sites zonder onderhoudsafspraak — en waar aanvallers binnen dagen op scannen.

Loopt het bijhouden van dit soort patches bij u structureel achter, dan is dat het echte probleem, niet dit ene lek. Bij onze websiteprojecten zit dat daarom in WebCare: securitypatches, dagelijkse backups en monitoring voor € 199 per maand, in plaats van een verrassing per e-mail.

Waarom die supporthorizon zwaarder weegt dan vorig jaar

Twaalf of zesendertig maanden securitypatches klonk tot voor kort als een boekhoudkundig detail. Dat is het sinds dit voorjaar niet meer.

Op 30 april 2026 shipte Mozilla in Firefox 150 in één keer 271 security fixes. Honderdvijftig daarvan kwamen uit één enkele AI-doorgang met Anthropic's Claude Mythos. Twee releases eerder waren het er nog 22.

De Firefox-codebase is twintig jaar oud en behoort tot de meest geanalyseerde code ter wereld. Toch lagen die bugs er gewoon.

Wat er is veranderd is niet dat software onveiliger is geworden, maar dat onbekende lekken opeens massaal en goedkoop vindbaar zijn. De AI-scan die een 27 jaar oude bug in OpenBSD blootlegde, kostte minder dan vijftig dollar aan rekenkracht.

Elia Zaitsev, CTO van CrowdStrike, vat het samen: "Het venster tussen het ontdekken van een kwetsbaarheid en het misbruiken ervan is ingestort — wat maanden duurde, gebeurt nu in minuten met AI."

Voor uw Umbraco-site betekent dat twee dingen.

Eén: uit support zitten is een ander risico dan het vorig jaar was. Umbraco is een breed uitgerold open-source CMS — precies het soort doelwit waar zo'n geautomatiseerde scan zich uitbetaalt. Draait u op 14, 15 of 16, dan worden lekken die op deze manier boven water komen voor uw versie simpelweg niet meer gedicht.

Twee: de tijd tussen publicatie en misbruik krimpt. Een patch die drie maanden blijft liggen, was altijd al onverstandig. Nu is het venster waarin aanvallers een gepubliceerd lek omzetten in een werkende exploit teruggelopen van maanden naar dagen.

We schreven hier uitgebreider over in 271 Firefox-bugs in één AI-pass — inclusief vier vragen die u aan elke softwareleverancier kunt stellen. Hoe die zero-days precies gevonden worden, staat in ons artikel over Claude Mythos en Project Glasswing.

Het maakt het verschil tussen twaalf en zesendertig maanden patches geen administratief detail. Het is precies de reden om voor de LTS te kiezen.

Ons advies in het kort

Zit u op 17: niets doen. U zit goed tot november 2028.

Zit u op 13: plan uw upgrade naar 17 nu in, met 14 december 2026 als harde deadline. Sla 18 over.

Zit u op 14, 15 of 16: u bent al uit support. Naar 17, en behandel het als urgent.

Overweegt u 18? Alleen als u Elements nú nodig heeft en u accepteert dat u in juni 2027 opnieuw moet upgraden. Anders wacht u op Umbraco 19 in Q4 2026, waar Elements pas echt af is.

Het patroon achter dit advies is simpel en geldt breder dan Umbraco: spring van LTS naar LTS en sla de tussenversies over. Dat halveert het aantal upgrades dat u betaalt, zonder dat u ooit zonder securitypatches zit.

Wij bouwen en onderhouden Umbraco-sites — onder meer de meertalige site en het klantenportaal van Steenfabriek De Rijswaard — en ontwikkelen CampaignCanvas, een eigen plugin voor forms en nieuwsbrieven binnen de Umbraco-backoffice. Loopt uw upgrade over in doorlopend werk aan de site, dan is Development as a Subscription meestal de rustigere vorm: vaste maandprijs, geen offertes per wijziging.

Twijfelt u op welke versie u zit of wat een upgrade in uw geval kost? Stuur ons een bericht — we lopen de drie vragen hierboven met u door en u weet binnen een dag waar u aan toe bent.