PHP heeft op 21 oktober 2026 twee kritieke beveiligingslekken bekendgemaakt. Er zijn al updates die het probleem oplossen. Draait je website op PHP, zoals bijna elke WordPress-site, dan is de belangrijkste stap simpel: vraag je hostingpartij of websitebeheerder of de update al is doorgevoerd.
Wat is er aan de hand?
PHP is de software waarop een groot deel van alle websites draait, waaronder WordPress en WooCommerce. In die software zijn twee ernstige fouten gevonden (bekend als CVE-2026-109618 en CVE-2026-109619). Via die fouten kan een kwaadwillende onder bepaalde omstandigheden op afstand opdrachten uitvoeren op een server, zonder in te loggen.
Dat klinkt heftig, en het is ook serieus. Maar het betekent niet dat jouw website gehackt is. Het betekent dat servers die nog niet zijn bijgewerkt een risico lopen.
Het lek zit niet in WordPress of in een plugin, maar in de onderliggende serversoftware. Daardoor ligt de oplossing meestal niet bij jou, maar bij degene die je server beheert.
Hoe ernstig is het?
Het NCSC meldde op 21 oktober dat er voorbeeldcode online staat waarmee het lek aangetoond kan worden. Op dat moment was nog geen actief misbruik gezien. Dat kan veranderen, dus wachten is geen goed idee.
Sommige hostingpartijen hebben websites tijdelijk offline gehaald om de updates veilig door te voeren. Was jouw website even onbereikbaar? Dan was dat waarschijnlijk een voorzorgsmaatregel en geen teken dat je gehackt bent. De statuspagina of het bericht van je eigen host geeft daarover de meest actuele informatie.
Wat moet je nu doen?
- Ga na wie je server beheert. Meestal is dat je hostingpartij, soms een webbureau of je eigen IT-beheerder.
- Vraag of de PHP-beveiligingsupdate van 21 oktober is doorgevoerd. Noem gerust beide CVE-nummers, dan weet je beheerder direct waar je het over hebt.
- Vergeet geen andere websites. Denk aan een oude testsite, een los subdomein of een tweede webshop.
- Controleer je website na de update. Werken je contactformulier, inloggen, bestellen en betalen nog zoals het hoort?
- Zie je iets vreemds? Onbekende gebruikers, aangepaste pagina's of rare doorverwijzingen? Laat je beheerder dan onderzoeken of er misbruik is geweest.
Wat hoef je niet te doen?
- Niet in paniek je website offline halen. Laat dat over aan je host of beheerder, die kan beoordelen of het nodig is.
- Niet denken dat een WordPress- of plugin-update dit oplost. Dat blijft goed onderhoud, maar dit lek zit een laag dieper.
- Niet zelf instellingen aanpassen op basis van een nieuwsbericht. De echte oplossing is de officiële update.
- Niet aannemen dat je veilig bent omdat je website gewoon werkt. Online zijn zegt niets over of de update al is doorgevoerd.
Draai je op een oude PHP-versie?
Dan is dit een goed moment om dat aan te pakken. PHP 8.1 en ouder krijgen geen reguliere updates meer. Voor deze lekken zijn wel noodreparaties gemaakt, maar een oude versie blijft een risico bij toekomstige lekken. In WordPress zie je je PHP-versie via Gereedschap → Sitegezondheid → Info → Server. Vraag je host om over te stappen naar een ondersteunde versie.
Voor je beheerder: de versies met de oplossing zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12 (of nieuwer). Sommige hostingpartijen passen de reparatie toe op hun eigen pakketten, waardoor het versienummer anders kan zijn. Vraag dan om bevestiging dat beide lekken zijn verholpen.
Veelgestelde vragen over het PHP-lek
Is mijn website gehackt?
Waarschijnlijk niet. Het lek maakt een aanval mogelijk, maar is geen bewijs dat er iets is gebeurd. Twijfel je, vraag je beheerder dan om te controleren.
Raakt dit ook WordPress?
Ja, indirect. WordPress draait op PHP. De oplossing zit op de server, niet in WordPress zelf.
Moet ik zelf iets installeren?
Meestal niet. Bij gewone webhosting voert je hostingpartij de update uit. Heb je een eigen server of VPS, dan ligt die verantwoordelijkheid bij jou of je beheerder.
Bewijst een update dat er niets is gebeurd?
Nee. Een update sluit het lek, maar zegt niets over wat er daarvoor is gebeurd. Bij twijfel is apart onderzoek nodig.