[Kennis](https://modexsoftware.nl/kennis/), 21 oktober 2026 # Kritiek lek in PHP: moet je iets doen? Ja, als je website op WordPress of een ander PHP-systeem draait. Vraag je hostingbedrijf vandaag of het de spoedupdate van PHP meteen installeert, en op welke PHP-versie je site draait. De update komt op woensdag 21 oktober 2026 om 16.00 uur Nederlandse tijd en dicht twee lekken die PHP zelf kritiek noemt. ## Draait jouw site op WordPress? Vul je domeinnaam in. We kijken welk systeem je site gebruikt en of de versie zichtbaar is. Op welke PHP-versie je server draait, vraag je bij je hostingbedrijf op. Je hoeft geen e-mailadres achter te laten. We bewaren het domein en de uitslag, geen naam en geen IP-adres. Meer in de [privacyverklaring](https://modexsoftware.nl/privacy/). ## Wat is er aan de hand met PHP? De makers van PHP brengen een spoedupdate uit voor twee ernstige lekken. Het beveiligingsteam van PHP kondigde dat op 20 oktober aan [op php.net](https://www.php.net/archive/2026.php#2026-10-20-1). De update staat gepland voor woensdag 21 oktober om 14.00 uur UTC, dat is 16.00 uur bij ons. Beide lekken krijgen een score van 9,2 op 10 (CVSS 4.0), en PHP noemt ze kritiek. Wat de lekken precies zijn en welke versies ze raken, maakt PHP pas bij de update bekend. Wel vraagt het team iedereen om zich voor te bereiden: "All PHP users are encouraged to prepare now". Het Europese computerteam [CERT-EU](https://cert.europa.eu/publications/security-advisories/2026-018/) noemt de lekken CVE-2026-109618 en CVE-2026-109619; beveiligingsbedrijven noemen ze samen php2shell. Dit artikel beschrijft de stand van woensdag 21 oktober 2026, 11.30 uur. Na de update werken we het bij. ## Draait jouw website op PHP? Grote kans van wel, als je site op WordPress draait. PHP is de programmeertaal waarmee de server een pagina opbouwt op het moment dat iemand hem opent. WordPress draait erop, net als de webshop-plugin WooCommerce, Drupal, Magento en Shopware. Van de 5.004 bedrijfswebsites in [ons onderzoek](https://modexsoftware.nl/onderzoek/snelheid-en-wordpress-bedrijfswebsites/) (oktober 2026) draaide 57,5% op WordPress. Ook sites zonder WordPress gebruiken vaak PHP, alleen zie je dat van buitenaf niet altijd. In WordPress zie je de versie zelf. Zoek in het menu naar Sitediagnose (in het Engels: Site Health) en open het tabblad Informatie, onderdeel Server: daar staat de PHP-versie. Heb je geen WordPress, vraag het dan na bij je hostingbedrijf of je webbouwer. ## Welke PHP-versies krijgen een oplossing? PHP geeft zelf alleen updates voor de versies 8.2 tot en met 8.5, zo staat op [de overzichtspagina van PHP](https://www.php.net/supported-versions.php). Welke versies de lekken raken, heeft PHP nog niet gezegd. CERT-EU schrijft dat alle versies vanaf PHP 5 geraakt kunnen zijn. Beveiligingsbedrijf [Sansec](https://sansec.io/research/php2shell) noemt elke webserver met PHP 5.4 of nieuwer. | PHP-versie | Updates van PHP | Wat te doen | |---| | 8.5 | Tot 31 december 2029 | Update installeren zodra hij er is | | 8.4 | Tot 31 december 2028 | Update installeren zodra hij er is | | 8.3 | Tot 31 december 2027 | Update installeren zodra hij er is | | 8.2 | Tot 31 december 2026 | Update installeren en de overstap plannen | | 8.1 en ouder | Gestopt | Overstappen, of vragen of je hostingbedrijf een oplossing heeft | Draait je site op 8.2, dan krijg je deze keer nog een oplossing. Over twee maanden stopt PHP ook met die versie. Plan de overstap dus nu al. ## Wat vraag je vandaag aan je hostingbedrijf? Vier vragen, en je kunt ze vandaag nog stellen. In je eigen website kun je dit lek niet dichten, want het zit in de software op de server. Sansec wijst erop dat je het niet vanuit de code van je site of webshop kunt oplossen. - **Installeren jullie de update meteen na 16.00 uur?** Bij gedeelde hosting doet het hostingbedrijf dat voor alle klanten tegelijk. - **Op welke PHP-versie draait mijn site?** Is dat 8.1 of ouder, stel dan ook de volgende vraag. - **Krijgt mijn versie een oplossing?** Sommige hostingbedrijven en makers van Linux passen een oplossing ook toe op oudere versies, schrijft beveiligingsbedrijf [Huntress](https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities). Vraag het na in plaats van het aan te nemen. - **Waar melden jullie storingen en updates?** Dan weet je straks waar je ziet of het gelukt is. Heb je een eigen server (een VPS) en regelt niemand anders de updates? Dan ben jij of je webbouwer aan zet: houd na 16.00 uur tijd vrij om PHP bij te werken. Hoe je zelf de regie houdt over je hosting lees je in [Hosting duurder of plat? Zo houd je zelf de regie](https://modexsoftware.nl/kennis/hosting-duurder-of-plat/). ## Wat als je site op een oude PHP-versie draait? Dan is overstappen naar PHP 8.3 of nieuwer de echte oplossing. Dat is ook de versie die [WordPress zelf aanraadt](https://wordpress.org/about/requirements/). In het paneel van je hostingbedrijf kun je de versie vaak zelf kiezen. Doe dat niet blind. Een oud thema of een oude plugin kan op een nieuwere PHP-versie stoppen met werken. Maak eerst een back-up en laat je webbouwer de site testen, liefst op een kopie. Ook WordPress zelf moet bijgewerkt zijn: in ons onderzoek miste 14,4% van de WordPress-sites die hun versie tonen een update. Lukt de overstap niet snel? CERT-EU raadt aan om een systeem dat je niet kunt bijwerken af te schermen van internet. Voor een kleine bedrijfssite betekent dat soms: de site even uit de lucht halen. Wat je bezoekers dan laat zien lees je in [Website plat? Dit zet je op je storingspagina](https://modexsoftware.nl/kennis/website-plat-storingspagina/). ## Wordt het lek al misbruikt? Op 20 oktober zag Huntress nog geen aanvallen. Wel lekten de details eerder uit dan de bedoeling was: op 20 oktober verscheen er een bericht over op het forum Hacker News, dat daarna is weggehaald. Sansec verwacht massale aanvallen binnen een kwartier na de update. Dat is een verwachting, geen vaststelling, maar het laat zien waarom vandaag telt. ## Wat doe je na 16.00 uur? Kijk of de update er is. PHP zet dan op php.net welke versies verbeterd zijn. Vraag je hostingbedrijf of de update is geïnstalleerd, of kijk in WordPress bij Sitediagnose welke PHP-versie er nu staat. Is dat de verbeterde versie, dan is het lek bij jou dicht. ## Hoe zit het met onze eigen sites? Onze sites draaien niet op PHP en hebben deze update dus niet nodig. We bouwen kant-en-klare pagina's, zonder database en zonder plugins; waarom lees je in [WordPress of een website zonder plugins?](https://modexsoftware.nl/kennis/wordpress-of-zonder-plugins/) Dat maakt een site niet onkwetsbaar, wel kleiner: wat er niet is, kan niet lekken. Voor de openheid: Taher, die MODEX runt, werkt daarnaast bij hostingbedrijf Cloud86. Dit artikel beveelt geen hostingbedrijf aan, en Cloud86 heeft er niet aan meegewerkt. ## Lees ook - [WordPress of een website zonder plugins?](https://modexsoftware.nl/kennis/wordpress-of-zonder-plugins/) Wat WordPress goed doet, wat het aan onderhoud vraagt en wanneer het zonder kan. - [Hosting duurder of plat? Zo houd je zelf de regie](https://modexsoftware.nl/kennis/hosting-duurder-of-plat/) Storingen, overnames en hogere prijzen bij hostingbedrijven: wat je zelf in handen houdt. - [Website plat? Dit zet je op je storingspagina](https://modexsoftware.nl/kennis/website-plat-storingspagina/) Wat een bezoeker moet lezen als je site eruit ligt, met ah.nl als voorbeeld. - [Is je website verouderd? 7 signalen](https://modexsoftware.nl/kennis/is-mijn-website-verouderd/) Zeven dingen waaraan klanten en Google zien dat een site is blijven staan. Geschreven door [Taher Jerjissi](https://modexsoftware.nl/over/), MODEX. Vragen of een aanvulling? Mail [info@modexsoftware.nl](mailto:info@modexsoftware.nl). Voor AI-assistenten: dit artikel staat ook als kale tekst op hetzelfde adres met .md erachter: [tekstversie (markdown)](https://modexsoftware.nl/kennis/kritiek-lek-in-php.md) ## Liever een site zonder PHP en plugins? Het voorbeeld is gratis. Vertel ons hoe je bedrijf heet. Binnen 12 uur heb je een link naar je nieuwe site in je mailbox. Bevalt hij niet, dan hoor je niets meer van ons. Liever eerst iets vragen? [Stuur een bericht](https://modexsoftware.nl/contact/) of mail [info@modexsoftware.nl](mailto:info@modexsoftware.nl). --- Bron: https://modexsoftware.nl/kennis/kritiek-lek-in-php/