Sophos XG end of life: datums, SFOS-limieten en overstap naar XGS

Elke Sophos XG-firewall is intussen end of life. De laatste modellen, van de XG 86-desktop tot de XG 750 voor rackmontage, bereikten end of life op 31 maart 2025. De XG 85 en XG 105 volgden al in augustus 2022. De eerste generatie XGS-desktops is de volgende: de verkoop is gestopt en end of life valt op 30 september 2030.

De meeste pagina's stoppen bij die datums en een trade-up-aanbod. Deze pagina behandelt ook het firmwareplafond van elk model, welke kwetsbaarheden oude SFOS-versies meedragen, wat de overstap naar XGS in de praktijk inhoudt en wanneer je een XG beter niet door een nieuw toestel vervangt.

End-of-life-datums van Sophos XG

Sophos stopte de verkoop van de meeste XG-modellen op 30 september 2021. De laatste verlenging van een jaar kon lopen tot 31 maart 2024, bestellingen voor een laatste verlenging werden aanvaard tot 31 januari 2025 en end of life volgde op 31 maart 2025. Vanaf die datum krijgt XG-hardware geen ondersteuning, firmware of beveiligingsfixes meer, welk abonnement er ook op loopt.

Wat elke mijlpaal stopzet

Sophos werkt met drie mijlpalen voor hardware. End of sale stopt nieuwe bestellingen van het toestel. Last renewal is de laatste datum tot wanneer een abonnement op het model kan lopen; daarna kun je de beveiligingsdiensten niet meer verlengen. End of life beëindigt hardwareondersteuning, vervangtoestellen, softwareonderhoud en beveiligingsupdates.

Voor XG liggen alle drie in het verleden. Een XG die vandaag nog in productie draait, werkt met de firmware en signatures die hij het laatst heeft gekregen.

Bron: Sophos-retirementkalender voor Sophos Firewall, SG UTM en verwante producten (KBA-000003353).

De oudere SG-toestellen met Sophos UTM 9 bereikten end of life op 30 juni 2026. Die lijn heeft een eigen migratieverhaal, dat we behandelen in Sophos UTM end of life. De end-of-life-tracker over alle leveranciers heen zet deze datums naast die van Fortinet, Palo Alto en anderen.

SFOS-versies en het plafond per model

De hardware bepaalt welke SFOS-versie een toestel kan draaien. De XG 85 en XG 105, met 2 GB geheugen, stoppen bij SFOS 17.5. Alle andere XG-modellen stoppen bij SFOS 20.0 MR3. SFOS 21 en later draaien alleen op XGS-, virtuele en cloudappliances, en de XGS-desktops van de tweede generatie hebben minstens SFOS 20.0 MR1 nodig.

Sophos ondersteunt SFOS per maintenance release, niet per hoofdversie. Dit zijn de releases die nog relevant zijn voor XG en vroege XGS-toestellen:

Bron: Sophos-retirementkalender (KBA-000003353).

Eén detail lees je gemakkelijk verkeerd. SFOS 20.0 MR3 wordt nog onderhouden, maar op XGS- en virtuele appliances. XG-hardware die end of life is, krijgt dat onderhoud niet, ook al draait hij dezelfde versie.

Beveiligingsrisico op oude SFOS

Sophos-firewalls zijn herhaaldelijk een doelwit geweest. CISA vermeldt drie SFOS-kwetsbaarheden als actief misbruikt, en verschillende latere kritieke lekken werden met hotfixes gedicht, alleen voor ondersteunde versies.

Bron: CISA Known Exploited Vulnerabilities-catalogus en beveiligingsadviezen van Sophos.

Twee conclusies. Een XG op SFOS 20.0 GA of MR1 valt buiten elke latere hotfixlijst, en een XG op 17.5 of 18.x draagt lekken mee die aanvallers actief hebben gebruikt. En voor XG-hardware na 31 maart 2025 stelt Sophos dat de softwareondersteuning eindigt bij end of life, dus reken niet op fixes die na die datum verschijnen.

Verschillende van deze lekken zitten in de User Portal en Webadmin. Wat je ook beslist over de hardware: houd beide weg van het internet.

Onder NIS2 vraagt artikel 21 om kwetsbaarheidsbeheer en basiscyberhygiëne op systemen zoals een perimeterfirewall. In België vraagt CyFun op elk zekerheidsniveau om beveiligingsupdates. Een XG die end of life is, voldoet per definitie aan geen van beide.

De weg naar XGS: trade-up, licenties en configuratie

Van XG naar XGS overstappen is de eenvoudigste migratie die Sophos aanbiedt, omdat beide op SFOS draaien. Toch is het geen kwestie van kopiëren en plakken. Drie zaken bepalen hoe vlot het verloopt: de commerciële voorwaarden, de overlap in licenties en het terugzetten van de configuratie.

Trade-up en licenties

Vóór end of life liepen er trade-up-promoties voor XG-klanten: tot 99% korting op XGS-hardware bij een Xstream Protection-abonnement van drie jaar, drie jaar voor de prijs van twee, of 50% korting op hardware bij een looptijd van één jaar. Die aanbiedingen waren gekoppeld aan de levenscyclus van XG. Vraag dus aan je partner wat vandaag geldt voor je erop budgetteert.

Voor licenties beschrijft Sophos een overlappend recht bij vroegtijdige verlenging van XG naar XGS. De XGS-licentie start wanneer de bestelling verwerkt is, de betaalde XGS-looptijd start de dag nadat de XG-licentie verloopt, en de XG-licentie blijft geldig tot het einde van haar contract. Alleen vroegtijdige verlengingen komen in aanmerking. Nieuwe, verlengde, tijdige en laattijdige verlengingen niet, en MSP Flex evenmin. Mensen uit de praktijk melden dat ze voor overlappende maanden betaalden toen ze hun XG met een jaar verlengden en vervolgens moesten overstappen voor dat jaar om was.

Configuratie terugzetten

• Eerst de versie. Breng de XG naar een recente release; de back-up moet van SFOS 19.5 MR4 of later komen om hem op XGS terug te zetten op SFOS 20.0 MR2 of later.
• Poorttoewijzing. Vanaf SFOS 20.0 MR2 wijst een backup-restore assistant de interfaces toe wanneer de poortindeling verschilt. Een HA-back-up van een XG kun je op XGS terugzetten zonder HA eerst uit te schakelen. Communitythreads melden dat de assistent niet altijd verschijnt, dus controleer na het terugzetten elke interface, VLAN en bridge.
• Oude access points. AP 15, 55 en 100 worden vanaf SFOS 21.5 niet meer ondersteund, en XGS ondersteunt geen enkel legacy AP-model behalve de AP 100X. AP 5, 10, 30 en 50 vielen al weg in SFOS 18.5. Sites die deze vanuit de firewall beheren, hebben nieuwe access points nodig.
• Legacy RED-tunnels. SFOS 21.5 is de laatste release die de legacy RED-server- en -clientmodus ondersteunt. De upgrade naar 22.0 start niet zolang zo'n configuratie bestaat. Bouw die tunnels opnieuw op voor je naar actuele firmware gaat.

Wat je wint en verliest met XGS

XGS voegt naast de hoofd-CPU een aparte Xstream-flowprocessor toe. Vertrouwd verkeer wordt na inspectie naar die processor doorgeschoven, zodat de CPU vrij blijft voor TLS-inspectie en bescherming tegen dreigingen. De cijfers tonen het verschil.

Bron: brochure Sophos XG Firewall en productspecificaties van Sophos XGS. De twee generaties zijn onder verschillende omstandigheden getest; beschouw de vergelijking als indicatief.

De winst is groot, vooral voor TLS-inspectie, waar een XG 125 op een moderne internetlijn praktisch onbruikbaar is. Wat je verliest: legacy access points en RED-tunnels die op de XG werkten, tijd om de teruggezette configuratie te controleren en, als je een XGS van de eerste generatie uit restvoorraad kiest, een toestel dat al op een end-of-life-klok richting 2030 staat. Kies de tweede generatie.

Op de XG blijven heeft ook een prijs, zelfs zonder factuur. Geen firmwarefixes, geen gegarandeerde beschermingsupdates, een groeiende afstand tot een ondersteunde SFOS-versie voor het latere terugzetten, en een vaststelling bij elke NIS2- of CyFun-audit. De checklist voor het uitfaseren van een firewall beschrijft hoe je het oude toestel correct buiten gebruik stelt.

Doet je XG vooral toegang op afstand en webfiltering, dan is dit het moment om het alternatief te testen voor je hardware koopt. Je kunt Jimber gratis uitproberen op één site of gebruikersgroep.

Wanneer je de XG niet 1-op-1 vervangt

Een XGS is het juiste antwoord wanneer de firewall werk doet dat alleen een lokaal toestel kan doen: verkeer tussen interne VLAN's routeren en inspecteren, een serverruimte beschermen waar de meeste applicaties draaien, of toestellen isoleren via de integratie van Sophos met de eigen endpoint protection.

Veel XG's in de mid-market doen ander werk. Ze termineren SSL- of IPsec-VPN voor medewerkers op afstand, filteren webverkeer voor gebruikers die vaak niet op kantoor zijn en verbinden filialen via site-to-site-tunnels met applicaties die intussen in Microsoft 365 draaien. Voor die sites bouwt een 1-op-1-vervanging een ontwerp opnieuw op waarin verkeer op afstand via het kantoor wordt teruggeleid en het VPN-portaal blootgesteld blijft aan het internet, hetzelfde portaal waarlangs verschillende van de kwetsbaarheden hierboven binnenkwamen.

Het alternatief is die taken van het toestel weg te halen. Toegang op afstand verhuist naar zero trust network access, zonder luisterend portaal. Webbeveiliging verhuist naar een secure web gateway in de cloud, dicht bij de gebruiker. Filialen gebruiken een licht SD-WAN-toestel in plaats van een firewall. Jimber levert firewall-as-a-service, ZTNA, een secure web gateway en SD-WAN op één Europees platform, met gegevensverwerking in de EU. Het 30-dagenplan van end of life naar SASE zet de volgorde uiteen. Wie andere verouderende lijnen heeft, staat voor dezelfde keuze; zie SonicWall TZ en NSA, WatchGuard Firebox en Palo Alto PA-220 en PA-800.

Argumenten om bij Sophos te blijven

Een goede Sophos-partner zal drie terechte punten maken.

“Synchronized Security werkt alleen met een Sophos-firewall.” Met endpoint protection van Sophos krijgt de firewall de gezondheidsstatus van elk toestel binnen en kan hij een gecompromitteerde machine meteen isoleren. Een apart cloudplatform verbreekt die lus, tenzij je het integreert. Voor organisaties die endpoint protection en managed detection van Sophos samen gebruiken, is dat een echte reden om te blijven.

“Lokaal verkeer hoort op een lokaal toestel.” Klopt. Multigigabitverkeer tussen interne netwerken, zoals CAD-bestanden, beeldmateriaal of back-ups naar een lokale NAS, hoort niet naar de cloud en terug te reizen. Een XGS verwerkt het aan lijnsnelheid. Dat pleit voor een lokale firewall waar zulk verkeer bestaat, niet om gebruikers op afstand erdoor te sturen.

“Van XG naar XGS is de minst verstorende weg.” Het team kent SFOS, het terugzetten behoudt het grootste deel van de configuratie en een XGS die je over vijf jaar afschrijft, is een voorspelbare kost. Dat klopt voor de migratie zelf. Het verandert niets aan de volgende end-of-life-datum, die voor de eerste XGS-generatie al op 2030 ligt, en evenmin aan de vraag welke taken überhaupt een toestel nodig hebben.

Conclusie

Elke Sophos XG is end of life, en de toestellen die nog draaien, werken met firmware die geen fixes meer krijgt. Stap je over naar XGS, kies dan de tweede generatie, controleer de SFOS-versie en het terugzetten, en plan voor oude access points en RED-tunnels. Ga voor je bestelt na welke taken van de XG nog een firewall in het gebouw nodig hebben.

Doet je XG vooral toegang op afstand en webbeveiliging, probeer dan gratis met één site. Of plan een demo en we overlopen samen je Sophos-omgeving.

Veelgestelde vragen

Wanneer bereikten Sophos XG-firewalls end of life?

De meeste XG-modellen bereikten end of life op 31 maart 2025, na end of sale op 30 september 2021. De XG 85, 85w, 105 en 105w waren eerder end of life, op 17 augustus 2022. Sindsdien krijgt XG-hardware geen ondersteuning, firmware of beveiligingsfixes meer.

Kan een Sophos XG SFOS 21 draaien?

Nee. De XG 86 tot XG 750 stoppen bij SFOS 20.0 MR3, de XG 85 en 105 bij SFOS 17.5. SFOS 21 en later draaien alleen op XGS-, virtuele en cloudappliances.

Wat gebeurt er als ik een XG na end of life blijf gebruiken?

Het toestel blijft verkeer doorlaten, maar Sophos levert geen softwareondersteuning, fixes of vervangtoestellen meer, welk abonnement er ook op loopt. Nieuwe kwetsbaarheden blijven open, en een niet-ondersteunde perimeterfirewall is een vaststelling onder NIS2 en CyFun.

Wanneer bereiken Sophos XGS-firewalls end of life?

De XGS-desktops van de eerste generatie (87, 107, 116, 126, 136 en w-varianten) bereiken end of life op 30 september 2030, met de laatste verlenging op 30 september 2029. Voor de desktops van de tweede generatie (88 tot 138) en de XGS-rackmodellen is geen end-of-life-datum aangekondigd.

Wat is de end-of-life-datum van de Sophos XG 125?

De XG 125 en 125w bereikten end of sale op 30 september 2021 en end of life op 31 maart 2025. Hun laatste SFOS-versie is 20.0 MR3. De XGS 128 van de tweede generatie is het dichtstbijzijnde actuele desktopmodel.

Kan ik een XG-back-up terugzetten op een XGS?

Ja, als de versies op elkaar aansluiten. De back-up moet van SFOS 19.5 MR4 of later komen en teruggezet worden op SFOS 20.0 MR2 of later, waar een backup-restore assistant de interfaces tussen poortindelingen toewijst. Controleer achteraf elke interface.

Werken mijn oude Sophos-access-points met XGS?

Meestal niet. XGS ondersteunt geen enkel legacy AP-model behalve de AP 100X. AP 15, 55 en 100 worden vanaf SFOS 21.5 niet meer ondersteund, en AP 5, 10, 30 en 50 vielen al weg in SFOS 18.5.

Hoe werken de licenties bij een overstap van XG naar XGS?

Bij vroegtijdige verlengingen geeft Sophos een overlappend recht: de XGS-licentie start wanneer de bestelling verwerkt is, de betaalde XGS-looptijd start nadat de XG-licentie verloopt, en de XG-licentie blijft geldig tot haar einde. Tijdige, laattijdige en MSP Flex-verlengingen komen niet in aanmerking.

Wanneer bereikten Sophos UTM en SG end of life?

Sophos UTM 9 en de SG-toestellen bereikten end of life op 30 juni 2026. Klanten met een geldige licentie behouden ondersteuning tot de licentie verloopt of tot 31 december 2026, afhankelijk van wat eerst komt. UTM-configuraties kun je niet terugzetten op SFOS; je moet ze opnieuw opbouwen.