Gratis websitecheck

PHP lek: wat betekent het voor jouw website?

· bijgewerkt · Remy & Lesley van rscreate

Webontwikkelaar van rscreate werkt op een laptop aan PHP-code, het onderdeel van websites dat door het PHP lek geraakt wordt

Snel antwoord: Op 20 oktober 2026 kondigde het PHP-team twee kritieke lekken aan in PHP, de programmeertaal achter WordPress en miljoenen andere websites. Aanvallers kunnen daarmee mogelijk code uitvoeren op je server. Op 21 oktober kwam de oplossing uit: PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruikt jouw website PHP, controleer dan of je hoster die update heeft geïnstalleerd.

Update 21 oktober, 22:40: de update is uit. Het PHP-team publiceerde de details en de gepatchte versies op php.net. Alle websites die wij hosten en onderhouden, draaien op een veilige PHP-versie en zijn weer online.

Het PHP lek van oktober 2026 raakt een groot deel van het internet. PHP is de programmeertaal waarop onder meer WordPress, Joomla, Drupal en WooCommerce draaien. Het PHP-beveiligingsteam waarschuwde voor twee kritieke kwetsbaarheden en bracht op 21 oktober een update uit. Draait jouw website op PHP, dan is de belangrijkste vraag nu: heeft je hostingpartij die update al geïnstalleerd?

Je hebt het misschien op het NOS-journaal gezien. Notubiz, het vergadersysteem dat zo’n honderd gemeenten gebruiken, ging offline. Dat was uit voorzorg: volgens Notubiz zijn er geen aanwijzingen dat er is ingebroken. Persbureau ANP zette uit voorzorg systemen uit. Dat klinkt heftig, en dat is het ook. Maar voor de meeste ondernemers met een gewone bedrijfswebsite is er een overzichtelijk lijstje met dingen die je kunt doen. Dat lijstje staat hieronder.

Wat is er aan de hand met PHP?

PHP is een programmeertaal die op de server draait. Bezoekt iemand je website, dan bouwt PHP op dat moment de pagina op: het haalt je teksten uit de database, voegt het menu toe en stuurt het resultaat naar de browser. PHP werd in 1994 bedacht door de Deens-Canadese programmeur Rasmus Lerdorf en wordt nu onderhouden door de PHP Foundation en een grote groep vrijwilligers.

Op 20 oktober 2026 plaatste het PHP-beveiligingsteam een vooraankondiging op php.net. Daarin staat dat er een beveiligingsupdate aankomt voor twee kritieke lekken, allebei met een score van 9,2 op de CVSS-schaal. Die schaal loopt tot 10, dus dit is ongeveer zo ernstig als het wordt.

Wat we tot nu toe weten:

  • De lekken heten CVE-2026-109618 en CVE-2026-109619.
  • Het gaat om zogeheten remote code execution. Een aanvaller kan van buitenaf, zonder in te loggen, eigen code laten draaien op de server waar je website op staat.
  • Het risico is het grootst bij servers die PHP draaien als Apache-module (mod_php), een veelgebruikte opzet bij gedeelde hosting.
  • De lekken zijn gedicht in PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35.
  • PHP 8.1 en ouder krijgen geen gewone updates meer. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team vanwege de ernst wel minimale patches gepubliceerd, die hostingpartijen zelf moeten inbouwen.
  • Gebruikt je server een Linux-distributie of een LTS-versie van PHP, dan krijg je de fix via die leverancier.
  • Cloudflare meldde al aanvallen voordat de update uit was.

Waarom gaan sommige sites offline?

Een lek met deze score in software die zo breed gebruikt wordt, is voor aanvallers interessant. Organisaties met gevoelige gegevens, zoals gemeenten en persbureaus, kiezen er dan voor om systemen tijdelijk uit te zetten tot de update er is. Het Britse NCSC adviseert om PHP zo snel mogelijk bij te werken en verdacht verkeer in de gaten te houden. Offline halen noemt het NCSC alleen als iets om te overwegen. CERT-EU, het cybersecurityteam van de Europese instellingen, zegt hetzelfde: zet je updates klaar en scherm sites die je niet kunt bijwerken af van internet. Het Nederlandse NCSC had bij het schrijven van dit artikel nog geen eigen advies gepubliceerd.

Is mijn website kwetsbaar voor het PHP lek?

Het korte antwoord: als je website op PHP draait en de server nog niet is bijgewerkt, dan ja. De vraag is dus eerst of jouw site PHP gebruikt. Dit overzicht helpt je op weg:

Soort website Draait op PHP? Risico door dit lek
WordPress (met Divi, Elementor, Avada of een ander thema) Ja Ja, tot de PHP-versie op de server is bijgewerkt
WooCommerce-webshop Ja Ja, en extra gevoelig door klant- en bestelgegevens
Joomla, Drupal, Magento, PrestaShop Ja Ja, tot de PHP-versie op de server is bijgewerkt
Wix, Squarespace, Shopify Niet op jouw hosting Dat regelt het platform zelf
Statische site (Astro, Hugo, losse HTML) Nee, niet bij een bezoek Nee, voor de website zelf

Twijfel je? Bijna elke website die gebouwd is in WordPress, valt in de eerste rij. Volgens W3Techs draait ruim 40 procent van alle websites op WordPress, en wereldwijd gebruikt zo’n driekwart van alle websites met een bekende servertaal PHP. Dit lek is dus geen randverschijnsel.

Lost een WordPress-update het PHP lek op?

Nee. En dat is misschien wel het belangrijkste punt van dit hele artikel. WordPress, je thema en je plugins zijn software die óp PHP draait. Het lek zit in PHP zelf, dus een laag dieper. Je kunt alle updates in je WordPress-dashboard netjes installeren en toch kwetsbaar zijn.

De PHP-versie op de server is van je hostingpartij. Bij gedeelde hosting, wat de meeste kleine bedrijven hebben, kun je die niet zelf patchen. Je hoster moet de nieuwe versie installeren. Het PHP-team noemt een paar tijdelijke serverinstellingen die het risico verkleinen, maar zegt er nadrukkelijk bij dat alleen de update het lek echt dicht.

Hoe controleer je welke PHP-versie je website gebruikt?

Je PHP-versie controleren duurt een minuut:

  1. Log in op je WordPress-dashboard.
  2. Ga naar Hulpmiddelen en dan Sitediagnose.
  3. Klik op het tabblad Info en open het kopje Server.
  4. Achter “PHP-versie” staat het versienummer, bijvoorbeeld 8.3.36.

Staat daar 8.5.12, 8.4.27, 8.3.36, 8.2.35 of hoger, dan is je server bijgewerkt. Een lager nummer betekent niet altijd dat je kwetsbaar bent, want sommige hosters bouwen de fix in hun eigen versie in. Vraag het in dat geval na.

Geen WordPress? Kijk dan in het controlepaneel van je hoster, vaak DirectAdmin, Plesk of cPanel. Daar staat de PHP-versie meestal bij de instellingen van je domein. Lukt het niet, stuur je hoster dan een mailtje. Die krijgen deze vraag deze dagen vaker.

Wat moet je nu doen als je website PHP gebruikt?

Paniek helpt niet, een lijstje wel. Dit zijn de stappen die we zelf ook doorlopen voor onze klanten:

  1. Check je PHP-versie. Zie hierboven. Schrijf het versienummer op, dan kun je straks zien of het veranderd is.
  2. Vraag je hoster of de update erop staat. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Goede hostingpartijen rollen een kritieke PHP-update dezelfde dag nog uit. Krijg je geen duidelijk antwoord, dan is dat ook informatie.
  3. Zorg voor een verse back-up. Gaat er toch iets mis, dan wil je terug kunnen naar een schone versie van vóór 21 oktober. Bewaar die back-up niet alleen op dezelfde server.
  4. Controleer na de update of je site werkt. Een PHP-update is meestal geruisloos, maar test je contactformulier, je webshop-checkout en het inloggen even.
  5. Werk ook WordPress en je plugins bij. Niet omdat het dit lek oplost, maar omdat een aanvaller altijd de makkelijkste ingang kiest. Laat die niet openstaan.
  6. Let de komende weken op vreemde dingen. Nieuwe gebruikers in je dashboard die je niet kent, rare doorverwijzingen of spam vanaf je domein zijn signalen dat er iets mis is.

Wat als je een oude PHP-versie gebruikt?

Dan wordt het lastiger. PHP ondersteunt elke versie vier jaar: twee jaar met gewone updates, daarna twee jaar alleen met beveiligingsupdates. Op dit moment zijn dat PHP 8.2, 8.3, 8.4 en 8.5. PHP 8.2 krijgt nog beveiligingsupdates tot 31 december 2026, dus over ruim twee maanden is ook die versie klaar.

Draait jouw site op PHP 7.4, 8.0 of 8.1, dan heb je deze keer geluk gehad. Het PHP-team heeft voor die versies uitzonderlijk een minimale patch gepubliceerd. Die komt alleen niet als gewone update: je hoster moet hem zelf inbouwen. Draai je nog ouder, dan is er geen fix. En reken er niet op dat het volgende lek weer zo’n uitzondering krijgt. We komen dat vaker tegen dan je zou denken, vooral bij sites die jaren geleden zijn gebouwd en daarna nooit meer zijn aangeraakt. Overstappen naar een nieuwere PHP-versie kan wel, maar oude thema’s en plugins werken daar niet altijd mee. Laat dat eerst testen op een kopie van je site voordat je de knop omzet.

Zelf doen of uitbesteden?

Zelf doen Uitbesteden
PHP-versie controleren Prima te doen, één minuut werk Hoeft niet
Hoster vragen om de update Prima te doen Hoeft niet
Back-up maken en veilig opslaan Te doen als je weet hoe terugzetten werkt Handig als je dat nog nooit hebt gedaan
Overstappen naar nieuwere PHP-versie Risicovol zonder testomgeving Aan te raden
Site herstellen na een hack Niet aan te raden Ja

Waarom heeft rscreate.nl geen last van het PHP lek?

Eerlijk is eerlijk: dit is niet omdat wij slimmer zijn dan de mensen bij Notubiz. Het komt door een keuze die we eerder dit jaar maakten.

Sinds oktober 2026 draait onze eigen website op Astro. Astro is een open-source webframework dat is ontwikkeld door The Astro Technology Company, sinds begin 2026 onderdeel van Cloudflare. Een Astro-site wordt vooraf omgezet naar kant-en-klare HTML-bestanden. Bezoekt iemand onze site, dan geeft de server alleen die bestanden door. Er draait geen PHP, er is geen database en er is geen inlogpagina die je kunt bestoken. Een lek in PHP heeft daardoor niets om aan te haken.

Hoe en waarom we die overstap maakten, lees je in WordPress alternatief: waarom we onze eigen site naar Astro verhuisden.

Is een statische website altijd veiliger?

Niet automatisch, en het zou oneerlijk zijn om dat te beweren. Een statische site heeft minder bewegende delen, dus minder dat kan lekken. Maar je hostingaccount, je wachtwoorden en je domeinnaam moeten nog steeds goed beveiligd zijn. En zodra je iets dynamisch toevoegt, zoals een formulier, een klantportaal of een webshop, draait er ergens weer software op een server. Die moet je net zo goed bijhouden.

Daarom bouwen we voor klanten nog steeds WordPress-sites als dat het beste past. WordPress is niet onveilig. Het vraagt alleen onderhoud, en een lek als dit laat precies zien waarom.

Hoe voorkom je dat een volgend lek je overvalt?

Dit is niet het laatste lek. Volgend jaar is het een plugin, het jaar erna weer iets anders. Wat helpt, is dat iemand er op tijd bij is. Een paar dingen die het verschil maken:

  • Iemand die het nieuws volgt. Wij lazen de aankondiging op php.net op dezelfde dag. Een ondernemer met een bakkerij of adviesbureau heeft daar geen tijd voor, en dat hoeft ook niet.
  • Een hoster die snel patcht. Vraag na hoe snel je hostingpartij kritieke updates uitrolt. “Binnen een paar dagen” is bij een lek als dit te traag.
  • Een ondersteunde PHP-versie. Zit je op een versie die geen updates meer krijgt, dan sta je bij elk nieuw lek met lege handen.
  • Back-ups die je ook echt terug kunt zetten. Een back-up die je nooit hebt getest, is een hoop, geen plan.
  • Zo min mogelijk plugins. Elke plugin is extra code op je server. Wat je niet gebruikt, kan weg.

Bij ons onderhoud en beveiliging vallen PHP-updates, WordPress-updates, malwarescans en monitoring onder één vast bedrag, vanaf € 16,53 per maand excl. btw. Is het al misgegaan, dan helpt Website EHBO je verder, met een vaste start van € 45 voor analyse en een eerste herstelpoging.

Conclusie: het PHP lek vraagt om een update, niet om paniek

Het PHP lek van oktober 2026 is ernstig. De score is hoog, het aantal websites dat PHP gebruikt is enorm en er waren al aanvallen voordat de update uit was. Tegelijk is de oplossing helder: de PHP-versie op je server moet worden bijgewerkt naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35, en dat doet je hostingpartij. Controleer je versie, vraag je hoster of de update erop staat, maak een back-up en test je site.

Weet je niet of jouw website kwetsbaar is voor het PHP lek, of wil je dat iemand meekijkt? Vraag dan een gratis websitecheck aan. We kijken naar je PHP-versie, je updates en je beveiliging, en vertellen je eerlijk wat er moet gebeuren.

Dit artikel is geschreven door Remy van rscreate, webontwikkelaar in Deventer en gespecialiseerd in WordPress-onderhoud, beveiliging en statische websites. Gepubliceerd op 21 oktober 2026, bijgewerkt op 21 oktober 2026 om 22:40.

Bronnen

Veel gestelde vragen over het PHP lek

Wat is er precies aan de hand met PHP?

Het PHP-beveiligingsteam heeft op 20 oktober 2026 twee kritieke kwetsbaarheden aangekondigd, allebei met een CVSS-score van 9,2 op een schaal van 10. Volgens beveiligingsonderzoekers gaat het om lekken waarmee een aanvaller op afstand eigen code op de server kan uitvoeren. Op 21 oktober kwam de update uit die de lekken dicht: PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35.

Is mijn WordPress website kwetsbaar voor het PHP lek?

Waarschijnlijk wel, totdat de PHP-versie op je server is bijgewerkt. WordPress draait op PHP, dus elke WordPress-site gebruikt het. Het bijwerken van WordPress zelf of van je plugins lost dit lek niet op. Het gaat om de PHP-versie op de server, en die werkt je hostingpartij bij.

Hoe weet ik welke PHP-versie mijn website gebruikt?

In WordPress ga je naar Hulpmiddelen en dan Sitediagnose. Onder het tabblad Info en het kopje Server staat de PHP-versie. Bij veel hostingpartijen zie je de versie ook in het controlepaneel, bijvoorbeeld in DirectAdmin of Plesk. Kom je er niet uit, vraag het dan aan je hoster of webbouwer.

Moet ik mijn website nu offline halen?

Voor de meeste kleine bedrijfswebsites is dat niet nodig. Het Britse NCSC noemt offline halen alleen als optie als je niet kunt updaten. Draai je een site met gevoelige klantgegevens of een webshop en heeft je hoster de update nog niet geïnstalleerd, overleg dan of tijdelijk offline gaan verstandig is.

Kan ik het PHP lek zelf oplossen?

Bij gedeelde hosting meestal niet. De PHP-software op de server is van je hostingpartij, en die moet de update installeren. Wat je zelf wel kunt doen: je PHP-versie controleren, nagaan of je hoster de update al heeft uitgerold en zorgen dat je een recente back-up hebt.

Is een statische website veilig voor dit PHP lek?

Ja, als er bij een bezoek geen PHP op de server draait. Een statische website bestaat uit kant-en-klare HTML-bestanden die de server alleen doorgeeft. Dit lek zit in PHP, dus een site die geen PHP gebruikt, heeft er geen last van. Draait er naast de site toch PHP, bijvoorbeeld voor een formulier, dan moet dat onderdeel wel worden bijgewerkt.

Wat als mijn website een oude PHP-versie gebruikt?

Dan heb je een groter probleem. PHP 8.1 en ouder krijgen geen gewone updates meer. Vanwege de ernst van dit lek heeft het PHP-team voor PHP 7.4, 8.0 en 8.1 wel een minimale patch gepubliceerd, maar die moet je hoster zelf inbouwen. Vraag na of dat gebeurd is. Op de lange termijn is overstappen naar een ondersteunde versie de echte oplossing, op dit moment PHP 8.2 tot en met 8.5. Laat eerst testen of je thema en plugins daarmee werken.

Wie houdt bij rscreate de PHP-versie van mijn site bij?

Heb je een onderhoudsabonnement of hosting bij ons, dan regelen wij het. We controleren na de update of je site nog goed werkt. Heb je je site ergens anders, dan kun je ons ook vragen om mee te kijken met een gratis websitecheck.

Verder lezen

Alle artikelen