Gratis check op het PHP-lek Is jouw website kwetsbaar?

Vijf punten. Welke PHP-versie de server meldt en of die de beveiligingsupdate van 21 oktober 2026 heeft. Of de website achter een firewall staat, zoals Cloudflare of Sucuri. Of de pagina de belangrijkste beveiligingsinstellingen voor de browser meestuurt (security headers). Of de site versienummers van zijn software laat zien. En of alles op de pagina via https laadt.

Op 21 oktober 2026 bracht PHP een beveiligingsupdate uit voor twee kritieke lekken (CVE-2026-109618 en CVE-2026-109619, ook bekend als PHP2Shell). Via die lekken kan een aanvaller zonder in te loggen code uitvoeren op een server die PHP draait. Dat raakt ook WordPress, WooCommerce, Joomla en Drupal, want die draaien op PHP. De oplossing zit in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Meestal regelt je hostingpartij die update; vraag het na als je het niet zeker weet.

Dat kan niemand van buitenaf zeggen. De scan kijkt alleen naar wat je pagina zelf laat zien: we doen geen aanval, proberen niet in te loggen en zoeken niet naar verborgen bestanden. Plugins, wachtwoorden, back-ups en de instellingen op de server zien we niet. Laat de server zelf daarom ook nakijken door je hostingpartij of webbouwer, zeker als je site op WordPress draait.

Dat is op zich goed: een verborgen versie helpt aanvallers niet. Het betekent wel dat wij niet kunnen zien of de update van oktober 2026 erop staat. Vraag je hostingpartij welke PHP-versie je site gebruikt; in het beheerpaneel van je hosting of in WordPress onder Hulpmiddelen, Sitediagnose staat het vaak ook.

Eén pagina, meestal je homepage, op zes onderdelen: snelheid, aanvragen, meten, vindbaarheid in Google, vindbaarheid in AI-assistenten en veiligheid. We lezen de broncode van de pagina en een paar openbare bestanden zoals robots.txt en de sitemap, en meten hoe snel de pagina reageert. Samen zijn dat ongeveer 35 punten.

De scan kijkt naar één pagina, niet naar je hele site. Hij logt nergens in, verstuurt geen formulieren en voert geen scripts uit. Wat pas na cookietoestemming, via een script of op de server laadt, zien wij dus niet. Ook je posities in Google, je bezoekersaantallen en de kwaliteit van je teksten en ontwerp vallen erbuiten. Zie een punt daarom als iets om na te lopen, niet als eindoordeel.

Niets. De scan is gratis, je hebt geen account nodig en je zit nergens aan vast. Je naam en e-mailadres vragen we pas als je per punt wilt weten wat je kunt doen.

Van een scan bewaren we het webadres en de uitkomst. Je IP-adres bewaren we niet; wel tellen we scans per dag met een code die ervan is afgeleid en die we na afloop van de dag verwijderen. Laat je je gegevens achter, dan bewaren we ook je naam, je e-mailadres en wat je verder invult. Die gebruiken we voor het advies bij je scan en om contact met je op te nemen over de uitkomst. Meer lees je in onze privacyverklaring.

Je ziet dan bij elk punt wat je eraan kunt doen. Daarna nemen we contact met je op (per mail, of telefonisch als je je nummer invult) om de punten door te lopen en samen een volgorde te bepalen. Dat is het plan van aanpak. Heb je daar geen behoefte aan, dan zeg je dat en houdt het daarmee op.

De score telt op wat we op de pagina vonden; het onderdeel aanvragen weegt het zwaarst. Het is een eerste indruk, geen volledig onderzoek. Een hoge score betekent dat de basis staat, niet dat je site vanzelf aanvragen oplevert. De snelheid meten we één of twee keer vanuit een datacenter, dus die kan per meting iets verschillen.

Nee. De controle zelf werkt met vaste regels: wat we vinden, hangt af van de pagina en niet van een taalmodel. Is de samenvatting bij je resultaat door AI geschreven, dan staat dat erbij.

Ja. Vul het volledige adres van die pagina in, bijvoorbeeld de landingspagina waar je advertenties naartoe gaan. De scan beoordeelt dan die ene pagina.

Sommige websites houden geautomatiseerde bezoekers tegen. Dat zegt niets over de kwaliteit van je site. Je kunt dan je gegevens achterlaten: wij kijken er zelf naar en mailen je wat we zien.

Dan heeft iemand het adres van jouw website in deze scan ingevuld. We halen dan één pagina op, plus een handvol openbare bestanden zoals robots.txt, de sitemap en een paar afbeeldingen en stijlbestanden: hooguit 45 verzoeken per scan, en hooguit drie scans van dezelfde website per tien minuten. We sturen geen formulieren in en loggen nergens in. Wil je dat niet? Zet dan in je robots.txt een regel voor AdvertiseExpertsScan met Disallow: /, of blokkeer die user-agent; de scan meldt dan dat je site niet gescand kan worden.