✦ Nieuws · IT-beheer · 21 oktober 2026

Kritiek PHP-lek: dit moet je vandaag controleren

Geen paniek, wel actie. Wat er bekend is, wat het voor je website betekent en wat je als ondernemer nu kunt doen.

Gepubliceerd 21-10-2026 14:05. Laatst bijgewerkt: 21-10-2026 14:05. Dit bericht wordt aangevuld zodra de officiële release er is.

Wat is bekend

Er zijn twee kritieke PHP-lekken bekend onder de naam PHP2Shell (CVE-2026-109618 en CVE-2026-109619). Ze maken uitvoeren van code op afstand mogelijk (CVSS 9,2). De details lekten op 20 oktober; de officiële patch voor PHP 8.2 tot en met 8.5 verschijnt 21 oktober om 14:00 UTC (16:00 Nederlandse tijd). Voor PHP 8.1 en ouder komt geen officiële fix. Het NCSC adviseert zo snel mogelijk te updaten. Cloudflare meldt de eerste aanvallen; andere bronnen hebben nog geen bevestigd misbruik gezien.

Grote organisaties hebben uit voorzorg sites tijdelijk offline gehaald. Dat is geen reden voor paniek bij een gewone ondernemerswebsite, maar wel een goede reden om je PHP-versie na te lopen.

Wat betekent dit voor jouw website?

PHP draait op de achtergrond van de meeste websites, waaronder WordPress en WooCommerce. Het lek zit in PHP zelf, niet in je thema of plugin. Je moet dus nagaan welke PHP-versie je host gebruikt en of die bij is.

  • PHP 8.2 tot en met 8.5: zodra de patch er is, moet je hosting die installeren.
  • PHP 8.1 of ouder: er komt geen officiële fix. Stap over op een nieuwere PHP-versie, voor zover je site dat aankan.
  • Weet je het niet? Dan weet waarschijnlijk niemand het. Dat is precies wat een check oplost.

Dit kun je vandaag doen

  1. Zoek uit welke PHP-versie je website gebruikt. Zo doe je dat: PHP-versie controleren en updaten.
  2. Maak een back-up van je website en database.
  3. Werk WordPress, WooCommerce en plugins bij en zet plugins uit die je niet gebruikt.
  4. Vraag je hostingpartij of de PHP-patch is of wordt geïnstalleerd en op welke datum.
  5. Houd de komende dagen je website en e-mail in de gaten op rare dingen, zoals onbekende gebruikers of verdachte bestanden.

Laat je IT-partner het regelen

Liever dat iemand anders het uitzoekt? Wij doen de website-check voor €37,50 (excl. btw, per website, tot en met 4 november 2026): controle van PHP en CMS, een snelle misbruikcheck, bijwerken tot maximaal 1 uur werk en een kort rapport. Gratis erbij: een SEO-audit met een verbeterplan van de 10 belangrijkste punten, zodat je site veilig én beter vindbaar is. Het uitvoeren van dat plan valt buiten de actie. Herstel van een gehackte site, migratie en maatwerk zitten er niet in; daarvoor krijg je vooraf een vaste prijs.

Over onze eigen servers: wij installeren de update zodra die beschikbaar is. Zodra dat gebeurd is, vermelden we dat hier.

Zelf eerst even kijken kan ook, met de gratis check van buiten van onze zusternaam IT Live (ook een handelsnaam van Aanbod op Maat).

Bronnen: NOS, Sansec, Huntress, Patchstack, Computable en php.net.

← Alle blogs