Het PHP-lek van oktober 2026: wat is er aan de hand en wat moet je nu doen?

Een lek in PHP klinkt als iets voor techneuten. Toch raakt dit lek gewone bedrijfswebsites: de site van een stukadoor, een vloerenwinkel, een verhuisbedrijf. Niet omdat die sites iets fout doen, maar omdat ze op PHP draaien zonder dat de eigenaar dat weet.

In dit artikel lees je in gewone taal wat er is gebeurd, hoe je in een paar minuten controleert of jouw site geraakt is en wat er daarna moet gebeuren. Je hoeft er geen techniek voor te kennen.

Wat is er gebeurd

Op 21 oktober 2026 bracht PHP een beveiligingsupdate uit voor twee kritieke lekken: CVE-2026-109618 en CVE-2026-109619, samen ook bekend als PHP2Shell. Via die lekken kan een aanvaller code uitvoeren op een server die PHP draait, zonder in te loggen. Hij heeft dus geen wachtwoord nodig.

Dat maakt dit lek anders dan de meeste WordPress-problemen. Het zit niet in een plugin of een thema, maar in PHP zelf: de taal waarin WordPress, WooCommerce, Joomla, Drupal en veel maatwerksites zijn geschreven. Er zijn al aanvallen gezien, dus wachten tot de volgende update is geen optie.

Draait mijn website op PHP?

Grote kans van wel. Je ziet het niet aan de buitenkant van je site, maar deze systemen draaien allemaal op PHP:

• WordPress en WooCommerce
• Joomla en Drupal
• Maatwerk in PHP, zoals sites gebouwd met Laravel

Weet je niet waar je site op draait? Log dan in op het beheer van je site. Zie je een WordPress-dashboard, dan draait je site op PHP. Twijfel je nog steeds, dan zegt je webbouwer of hostingpartij het je in één zin.

Zo controleer je of je site kwetsbaar is

Het gaat niet om de versie van WordPress, maar om de versie van PHP op je server. Die controleer je zo:

1. Doe de gratis PHP-lek check. Vul je webadres in en je ziet meestal binnen tien seconden welke PHP-versie je server meldt, of er een firewall voor je site staat en welke beveiligingsinstellingen ontbreken. Er is geen account nodig en we kijken alleen naar wat je pagina zelf laat zien.
2. Kijk in het paneel van je hostingpartij. Bij de meeste hosters staat onder een kop als "PHP-instellingen" of "PHP-versie" welke versie je pakket gebruikt. Vergelijk die met de lijst hierboven.
3. Vraag het je webbouwer of hostingpartij. Veel servers verbergen hun PHP-versie voor de buitenwereld. Dan ziet de check hem niet, maar je hoster weet het wel.

Meldt je server een versie van vóór 21 oktober 2026, of een versie uit de reeks 8.1 of ouder? Dan is je site kwetsbaar en moet er iets gebeuren.

Dit moet er gebeuren

Een PHP-update is meer dan op een knop drukken. Een nieuwere PHP-versie kan oude plugins of een oud thema laten haperen, en dan werkt je offerteformulier ineens niet meer. Houd daarom deze volgorde aan:

• Maak eerst een back-up van je bestanden en je database, of laat je hostingpartij dat doen.
• Werk PHP bij naar een versie met de update. Bij de meeste hosters doe je dat in het paneel; anders regelt je hostingpartij het.
• Werk daarna WordPress zelf, je plugins en je thema bij. Die hebben hun eigen updates, los van PHP.
• Test of alles nog werkt: open je pagina's, verstuur een proefaanvraag via je formulier, controleer betalingen en kijk of de mail aankomt.
• Zet een firewall voor je site, zoals Cloudflare, en haal versienummers weg die je site aan de buitenwereld toont. Die helpen aanvallers kiezen.

Heb je geen toegang tot je hosting, of durf je het niet zelf aan? Dan kan onze dienst PHP-lek dichten dit voor je doen, ook als een ander bureau je site bouwde.

PHP 8.1 of ouder? Dan is bijwerken niet genoeg

Voor PHP 8.1 en oudere versies komt geen beveiligingsupdate meer. Draait je site daarop, dan kun je het lek niet dichten door te updaten binnen dezelfde reeks. Je moet over naar een nieuwere reeks, zoals 8.3 of 8.4.

Dat is een grotere stap, want oude plugins en thema's zijn niet altijd klaar voor een nieuwere PHP-versie. Laat daarom eerst nakijken wat er op je site draait, maak een back-up en test na de overstap elke pagina en elk formulier. Soms is dit ook het moment om je af te vragen of je nog PHP wilt.

Zo voorkom je dit de volgende keer

Dit is niet het laatste lek. Het verschil tussen een site die er last van krijgt en een site die niets merkt, is wie er oplet. Een site die niemand bijhoudt, loopt binnen een jaar weer achter.

Er zijn twee routes. Je houdt je huidige site op WordPress of je eigen systeem en laat hem bijhouden: updates, snelheid en of je formulieren werken, met na elke update een test. Of je stapt over naar een snelle eigen site zonder PHP, waarbij elke pagina haar adres houdt en oude pagina's doorsturen. Beide routes staan uitgelegd op PHP-lek dichten; welke bij jouw site past, hoor je na een eerste blik.

Veelgestelde vragen

Weet je niet zeker waar je site op draait?

Begin met de gratis PHP-lek check. Vul je webadres in en je ziet meestal binnen tien seconden welke PHP-versie je server meldt en wat er aan je beveiliging ontbreekt. Gratis, zonder account, en we kijken alleen naar wat je pagina zelf laat zien.

Wil je het liever uit handen geven? Lees wat we doen bij PHP-lek dichten: nakijken, back-up, bijwerken, testen en daarna bijhouden. Ook als wij je site niet bouwden.

Alle artikelen