PHP lek voorkomen: moet je van WordPress af?

Snel antwoord: Een lek in PHP zelf kun je niet voorkomen, wel dat het jouw website raakt. Er zijn twee routes. Blijf je op WordPress, laat dan je PHP-versie, plugins en thema’s structureel bijhouden. Wil je er vanaf, stap dan over naar een statische website zonder PHP. Voor een webshop of een site die je zelf veel aanpast is de eerste route meestal slimmer, voor een visitekaartje-site de tweede.

Wil je het PHP lek voorkomen, dan heb je twee echte opties: je zorgt dat iemand je PHP-versie en WordPress-installatie bijhoudt, of je kiest een website die helemaal geen PHP gebruikt. Er is geen derde knop die alles oplost. Welke route past, hangt af van wat je site moet kunnen en hoeveel onderhoud je wilt.

Vorige week schreven we over het PHP lek van oktober 2026. Dat artikel werd in een paar dagen ruim 25.000 keer getoond in Google. In Search Console zagen we ook waar mensen daarna op zochten: “draait mijn site op PHP?”, “wordpress php lek” en “draait Squarespace op PHP?”. Daaronder zit één vraag: moet ik nu van WordPress af? Begrijpelijk. Als het NOS-journaal opent met een lek in de software waar jouw website op draait, ga je twijfelen. Hieronder zetten we de afweging eerlijk op een rij, ook als het antwoord is dat je beter kunt blijven.

Kun je een PHP lek voorkomen?

Nee, niet het lek zelf. En dat is meteen de belangrijkste les van vorige week.

PHP is de programmeertaal die op de server je pagina’s opbouwt. Volgens W3Techs gebruikt 69 procent van alle websites met een bekende servertaal PHP. WordPress, Joomla, Drupal en WooCommerce draaien er allemaal op. Zit er een fout in PHP, dan zit die fout op miljoenen servers tegelijk. Daar kun jij als ondernemer niets aan veranderen. Het PHP-team vindt het lek, schrijft de oplossing en brengt een update uit.

Wat je wél in de hand hebt:

• Hoe snel die update op jouw server staat. Bij het lek van oktober zat er één dag tussen de waarschuwing en de update. Cloudflare zag al aanvallen voordat de update uit was. Snelheid telt.
• Of je op een versie zit die nog updates krijgt. PHP 8.1 en ouder krijgen geen gewone beveiligingsupdates meer. Wie daarop draait, is bij het volgende lek afhankelijk van noodpatches die zijn hoster zelf moet inbouwen.
• Of je site PHP überhaupt nodig heeft. Een website die geen PHP gebruikt bij een bezoek, heeft geen last van een PHP lek. Dat is geen trucje, dat is gewoon hoe die sites werken.

Die laatste is de interessante. Want veel bedrijfswebsites draaien op WordPress omdat dat nu eenmaal zo ging, niet omdat ze iets doen wat PHP nodig heeft.

Website beveiligen tegen een PHP lek: twee routes

Er zijn grofweg twee manieren om je website te beveiligen tegen een volgend PHP lek. Ze werken allebei. Ze vragen alleen iets anders van je.

Route 1: op WordPress blijven en het onderhoud regelen

WordPress is niet onveilig. Dat moet even gezegd, want na een week als deze krijgt het een slechte naam die het niet helemaal verdient. Het lek van oktober zat niet in WordPress, maar in PHP. En de meeste WordPress-problemen komen uit een andere hoek: volgens het beveiligingsbedrijf Patchstack zat 97 procent van alle nieuwe WordPress-kwetsbaarheden in 2023 in plugins. Slechts 0,2 procent zat in WordPress zelf.

Het probleem is dus zelden WordPress. Het probleem is een WordPress-site waar niemand naar omkijkt. Een site met een PHP-versie uit 2021, twintig plugins waarvan er vijf al jaren geen update hebben gehad en een thema dat ooit door een neef is geïnstalleerd. Dat is een open deur, of er nu een PHP lek is of niet.

Blijf je op WordPress, dan heb je iemand nodig die:

• de PHP-versie op een ondersteunde versie houdt en kritieke updates dezelfde dag controleert;
• WordPress, plugins en thema’s bijwerkt en daarna test of alles nog werkt;
• plugins opruimt die je niet gebruikt of die niet meer worden onderhouden;
• back-ups maakt die ook echt terug te zetten zijn;
• de site in de gaten houdt, zodat je het merkt als hij plat ligt of gehackt is.

Dat kun je zelf doen als je er tijd en zin in hebt. De meeste ondernemers hebben dat niet, en dat is prima. Bij ons onderhoud en beveiliging valt dit allemaal onder één vast bedrag van € 16,53 per maand excl. btw. Toen de PHP-update op 21 oktober uitkwam, stonden alle sites die wij onderhouden dezelfde avond op een veilige versie.

Route 2: overstappen naar een statische website zonder PHP

De tweede route is radicaler: je haalt PHP er helemaal tussenuit.

Een statische website bestaat uit kant-en-klare HTML-bestanden. Ze worden één keer gemaakt, vooraf, en daarna geeft de server ze alleen nog door. Er draait bij een bezoek geen PHP, er is geen database en er is geen inlogpagina waar bots de hele dag wachtwoorden op proberen. Een PHP lek heeft niets om aan te haken.

“Statisch” klinkt ouderwets, alsof je terug moet naar een website uit 1998 die alleen de webbouwer kan aanpassen. Dat is het niet meer. Moderne statische sites worden gebouwd met frameworks zoals Astro, ontwikkeld door The Astro Technology Company en sinds begin 2026 onderdeel van Cloudflare. Je koppelt er een CMS aan, je past je teksten aan in een gewone beheeromgeving en de site bouwt zichzelf daarna automatisch opnieuw.

Onze eigen site draait sinds 7 oktober 2026 op Astro. Toen het PHP lek twee weken later in het nieuws kwam, hoefden we voor rscreate.nl helemaal niets te doen. Hoe die overstap ging, lees je in WordPress alternatief: waarom we onze eigen site naar Astro verhuisden.

Moet ik van WordPress af na het PHP lek?

Dat hangt af van wat je website doet. Niet van hoe eng het nieuws klonk.

Een lek als dit is een goed moment om eens kritisch naar je site te kijken, maar een slecht moment om in paniek een nieuwe te laten bouwen. De vraag is niet “is WordPress veilig?”, maar: “heeft mijn site eigenlijk wel nodig wat WordPress biedt?”

Stel jezelf deze vragen:

1. Verkoop je online? Een webshop met voorraad, betalingen en klantaccounts draait op software aan de serverkant. Dat kan WooCommerce zijn of Shopify, maar een statische site alleen is hier niet genoeg.
2. Pas je zelf vaak de opbouw van pagina’s aan? Klik je regelmatig nieuwe pagina’s in elkaar met een paginabouwer als Elementor of Divi, dan biedt WordPress vrijheid die je bij een statische site moet laten bouwen.
3. Draait je site op plugins die iets bijzonders doen? Denk aan een boekingssysteem, een ledenomgeving of een koppeling met je boekhouding. Dat moet bij een overstap opnieuw worden opgelost.
4. Of is je site vooral een visitekaartje? Een paar dienstpagina’s, een over-ons, een contactpagina en af en toe een blog. Dan gebruik je waarschijnlijk vijf procent van wat WordPress kan, en betaal je wel voor honderd procent van het onderhoud.

Herken je jezelf vooral in vraag 4? Dan is een overstap naar een statische website een serieuze optie. Antwoord je ja op vraag 1, 2 of 3, dan is blijven met goed onderhoud meestal verstandiger.

Welke keuze past bij jouw website?

Hieronder de vergelijking zoals we die aan klanten uitleggen. Geen verkooppraatje, gewoon de afweging.

	WordPress met onderhoud	Statische website (Astro)
Last van een PHP lek	Ja, tot de PHP-update erop staat	Nee, er draait geen PHP bij een bezoek
Maandelijks onderhoud	Nodig: PHP, WordPress, plugins, thema	Weinig: af en toe een framework-update
Zelf teksten en blogs aanpassen	Ja, uitgebreid	Ja, via een gekoppeld CMS
Zelf pagina-opbouw aanpassen	Ja, met een paginabouwer	Beperkt, nieuwe indelingen worden gebouwd
Nieuwe functie toevoegen	Plugin installeren	Laten bouwen of een externe dienst koppelen
Snelheid	Goed tot matig, hangt af van thema en plugins	Heel snel
Webshop	Ja, met WooCommerce	Beperkt, via een externe dienst
Contactformulier	Ingebouwd via een plugin	Via een externe dienst of klantportaal
Doorlopende kosten bij rscreate	Hosting vanaf € 99 per jaar plus onderhoud € 16,53 per maand	Hosting vanaf € 99 per jaar
Past bij	Webshops, sites met veel eigen beheer of speciale plugins	Visitekaartje-sites, dienstverleners, blogs

Valt je op dat de rechterkolom vooral uit “nee” en “weinig” bestaat? Dat is precies het punt. Een statische site kan minder, en daardoor kan er ook minder misgaan.

Waarom is een website zonder PHP minder kwetsbaar?

Omdat er simpelweg minder deuren zijn.

Bij een WordPress-site gebeurt er bij elk bezoek van alles op de server. PHP start, haalt teksten uit een MySQL-database, laadt het thema en tientallen plugins en bouwt daar een pagina van. Elk van die onderdelen is code die een fout kan bevatten. En omdat ruim 40 procent van het web op WordPress draait, scannen bots de hele dag automatisch naar sites met een bekende kwetsbaarheid. Het is geen persoonlijke aanval. Het is een sleepnet.

Bij een website zonder PHP gebeurt er bij een bezoek bijna niets. De server pakt een bestand en stuurt het op. Er is geen database om te kraken, geen wp-login.php om op in te loggen en geen plugin met een gat erin. Wat er niet is, kan ook niet lekken.

Wat blijft er wel kwetsbaar bij een statische site?

Het zou oneerlijk zijn om te doen alsof een statische site onkwetsbaar is. Een paar dingen moet je nog steeds goed regelen:

• Je hostingaccount en wachtwoorden. Komt iemand binnen in je hostingpaneel, dan maakt het niet uit wat voor site er staat. Gebruik sterke wachtwoorden en tweestapsverificatie.
• Je domeinnaam. Wie je domein overneemt, neemt je website en je mail over.
• Formulieren en koppelingen. Een contactformulier verstuurt gegevens, en dat gebeurt ergens op een server. Bij een statische site loopt dat via een aparte dienst, en die moet betrouwbaar zijn.
• De server zelf. Ook de webserver die je bestanden uitdeelt krijgt updates. Bij goede hosting regelt de hoster dat.

Het verschil is niet “kwetsbaar of veilig”. Het verschil is tien deuren of twee.

Overstappen naar een statische website: zo gaat dat

Besluit je om over te stappen, dan is dat een nieuwe bouw. Geen knop in WordPress die je omzet, wel een overzichtelijk traject. Zo pakken wij het aan.

1. Inventariseren wat je site nu doet. Welke pagina’s zijn er, welke plugins gebruik je echt en wat moet de nieuwe site kunnen? Vaak blijkt de helft van de plugins overbodig.
2. Inhoud exporteren. Teksten, blogs en afbeeldingen halen we uit WordPress en zetten we om naar Markdown, een eenvoudig tekstformaat.
3. Ontwerp en bouw. We bouwen de site in Astro, in je eigen huisstijl. Wil je je huidige uitstraling houden, dan kan dat. Wil je meteen een frisse look, ook prima.
4. Formulieren en koppelingen opnieuw regelen. Contactformulieren, nieuwsbrief en eventuele boekingen lopen via een externe dienst die past bij wat je nodig hebt.
5. Een CMS koppelen. Zodat jij zelf teksten, blogs en afbeeldingen kunt aanpassen zonder een regel code.
6. Redirects en vindbaarheid. Elk oud adres krijgt een doorverwijzing naar het nieuwe, zodat je posities in Google behouden blijven. We dienen de nieuwe sitemap in bij Google Search Console.
7. Live zetten en opletten. Na de overstap houden we de eerste weken in Search Console in de gaten of er ergens een oude pagina een foutmelding geeft.

Hoe lang dat duurt, hangt af van het aantal pagina’s. Onze eigen site, met ruim twintig blogs en een flink aantal dienst- en stadspagina’s, stond binnen ruim een week. Voor een gemiddelde bedrijfssite met vijf tot tien pagina’s is dat vergelijkbaar of korter. Een uitgebreide site met veel functies vraagt meer tijd.

Wat kost overstappen naar een statische website?

Een statische site kost bij de bouw ongeveer hetzelfde als een maatwerk WordPress-site. Het werk zit in ontwerp, inhoud en bouw, niet in het systeem. Bij rscreate:

Wat	Prijs (excl. btw)
One-page website	vanaf € 900
Website met 5 tot 8 pagina’s	vanaf € 1.500
Grotere site met 10+ pagina’s	vanaf € 2.500
Hosting	vanaf € 99 per jaar

Het verschil zit in wat er daarna komt. Bij WordPress betaal je jaarlijks zo’n € 200 aan onderhoud om alles bij te houden. Bij een statische site vervalt het grootste deel daarvan. Over een paar jaar tikt dat aan, en je hoeft bij het volgende lek niet in je mail te zoeken of je hoster al iets heeft gedaan.

Is overstappen naar Wix of Squarespace ook een oplossing?

Het viel ons op dat veel mensen na het PHP lek zochten op “squarespace php” en “draait wix op php”. Logisch: als WordPress eng voelt, is een websitebouwer de bekendste uitweg.

Voor het PHP-probleem werkt het. Bij Wix, opgericht in Tel Aviv, en Squarespace uit New York heb je geen eigen server. Het platform regelt de techniek en de updates. Je hoeft je dus niet druk te maken over PHP-versies.

Je ruilt het onderhoud alleen in voor iets anders: afhankelijkheid. Je betaalt maandelijks een abonnement, je zit vast aan wat het platform kan en verhuizen naar een andere partij is lastig, omdat je je site niet zomaar kunt meenemen. Voor wie zelf snel iets in elkaar wil klikken is dat een prima ruil. Wil je een site die van jou is, snel laadt en die je later bij een andere partij kunt onderbrengen, dan is een statische site de betere keuze.

Wat kun je nu al doen, welke route je ook kiest?

Je hoeft vandaag niet te beslissen. Er zijn een paar dingen die je deze week al kunt doen om je website beter te beveiligen:

• Controleer je PHP-versie. In WordPress vind je die onder Hulpmiddelen, Sitediagnose, tabblad Info, kopje Server. Staat er 8.1 of lager, dan heb je haast.
• Vraag je hoster of de update van 21 oktober erop staat. Het gaat om PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35.
• Ruim plugins op. Alles wat uitgeschakeld is of wat je niet gebruikt, kan weg. Minder code is minder risico.
• Test je back-up. Een back-up die je nooit hebt teruggezet, is een hoop, geen plan.
• Zet tweestapsverificatie aan op je WordPress-account en je hostingpaneel.

Twijfel je of jouw site al veilig is, of wil je weten welke route bij jou past? Vraag een gratis websitecheck aan. We kijken naar je PHP-versie, je plugins en wat je site eigenlijk doet, en vertellen je eerlijk of overstappen zinvol is. Soms is het antwoord: blijf lekker waar je zit, maar laat het onderhoud regelen.

Conclusie: een PHP lek voorkomen begint bij een keuze

Een PHP lek voorkomen kun je niet, wel voorkomen dat het je overvalt. Blijf je op WordPress, zorg dan dat iemand je PHP-versie, plugins en thema’s structureel bijhoudt, want WordPress is veilig zolang het onderhouden wordt. Gebruik je je site vooral als visitekaartje en verander je weinig, dan is een statische website zonder PHP een logische stap: sneller, met minder onderhoud en zonder onderdelen die bij het volgende lek open staan.

Wil je weten wat een overstap voor jouw website betekent? Neem contact op of vraag een offerte aan. We kijken samen wat je site nodig heeft, en bouwen alleen wat je echt gebruikt.

Dit artikel is geschreven door Remy van rscreate, webontwikkelaar in Deventer en gespecialiseerd in WordPress-onderhoud, beveiliging en statische websites in Astro. Gepubliceerd op 25 oktober 2026.

Bronnen

• PHP, “Security advisory: Critical remote code execution vulnerabilities, update now” (21 oktober 2026): https://www.php.net/archive/2026.php#2026-10-21-5
• PHP, “Supported Versions” (2026): https://www.php.net/supported-versions.php
• Patchstack, “State of WordPress Security in 2024” (2024): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2024/
• W3Techs, “Usage statistics of server-side programming languages” (2026): https://w3techs.com/technologies/overview/programming_language
• W3Techs, “Usage statistics of WordPress” (2026): https://w3techs.com/technologies/details/cm-wordpress
• WordPress Developer Resources, “Hardening WordPress” (2026): https://developer.wordpress.org/advanced-administration/security/hardening/
• Astro, “Why Astro?” (2026): https://docs.astro.build/en/concepts/why-astro/