Op 21 oktober 2026 werden twee kritieke lekken in PHP bekend, de programmeertaal waarop WordPress en een groot deel van het internet draaien. Overheden, ziekenhuizen en grote websites haalden uit voorzorg hun sites offline. Ook DigiD, MijnOverheid en de website van de Tweede Kamer gingen tijdelijk uit de lucht.
Veel ondernemers moesten die dag zelf uitzoeken of hun website veilig was. Mijn klanten niet. Die hoefden niets te doen.
Hieronder lees je wat er aan de hand is, wat het betekent voor jouw website en wat ik voor mijn klanten heb geregeld.
Wat is het PHP-lek precies?
Het gaat om twee lekken, CVE-2026-109618 en CVE-2026-109619, ook wel PHP2Shell genoemd. Ze krijgen een ernstscore van 9,2 op 10. Via deze lekken kan een aanvaller van buitenaf code uitvoeren op de server, zonder in te loggen. Volgens het NCSC is daar een eenvoudig verzoek aan de website al genoeg voor.
Het lek zit niet in WordPress of in een plugin, maar in PHP zelf, op de server. Elke server die met PHP webpagina’s maakt, loopt risico. Je lost het dus niet op met een plugin of een instelling in je website. Het moet op de server gebeuren.
PHP bracht dezelfde dag beveiligingsupdates uit voor PHP 8.2, 8.3, 8.4 en 8.5. Voor oudere versies zoals PHP 8.1 kwamen alleen minimale patches die je zelf moet inbouwen, omdat die versies niet meer worden ondersteund. Draait een site nog op 8.1 of ouder, dan moet hij in de praktijk over naar een nieuwere versie.
Het NCSC meldde dat er al voorbeeldcode van een aanval rondging, maar zag op dat moment nog geen actief misbruik. Het advies was duidelijk: direct bijwerken, en systemen die je niet kunt bijwerken desnoods tijdelijk uitzetten.
Wat betekent dit voor jouw website?
Draait je website op WordPress, dan draait hij op PHP. De vraag is dus niet of het lek je raakt, maar of je server inmiddels is bijgewerkt.
Dat hangt af van waar je website staat:
- Bij een hostingpartij die alles voor je beheert: de server wordt bijgewerkt, maar of jouw website op een versie draait die de update krijgt, moet je vaak zelf controleren.
- Op een oude PHP-versie: dan krijg je geen gewone update. Je site moet eerst over naar een nieuwere versie, en daar kan iets bij misgaan.
- Op een eigen server: dan ben je zelf verantwoordelijk voor het bijwerken.
In alle drie de gevallen geldt: iemand moet het doen, en iemand moet daarna controleren of de website nog werkt.
Wat ik voor mijn klanten heb gedaan
Op 21 oktober heb ik alle hostingpakketten van mijn klanten nagelopen. Bijna alle websites draaiden al op PHP 8.3 of nieuwer, versies die de beveiligingsupdate krijgen. De websites die nog op een oudere versie stonden, heb ik dezelfde dag overgezet naar PHP 8.3.
Daarna heb ik elke overgezette website getest op de pagina’s die er echt toe doen: de homepage, de formulieren, de winkel als die er is, en het inloggen.
En daarna heb ik alles nog een keer gedubbelcheckt: draait echt elke website op een veilige, bijgewerkte versie, en is alles nog veilig en in orde? Pas toen dat klopte, was het voor mij klaar.
Mijn klanten hoefden daar niets voor te doen. Geen mail die ze moesten begrijpen, geen inloggegevens die ze moesten opzoeken, geen helpdesk die ze moesten bellen.
Wat er achter de schermen bij zo’n overstap komt kijken
Een PHP-versie omzetten is niet altijd één klik. Dit zijn de dingen waar ik op let, en waar het bij anderen weleens misgaat:
- Eerst een back-up. Van de bestanden en de database, voordat ik iets aanraak.
- Uitbreidingen overnemen. PHP werkt met losse onderdelen, bijvoorbeeld voor afbeeldingen of de database. Een nieuwe versie begint niet altijd met dezelfde set. Staat er een uit, dan kan een site vastlopen op één onderdeel, zoals het uploaden van een foto.
- Alle sites op hetzelfde pakket testen. Bij sommige hostingpakketten geldt de overstap voor alle domeinen tegelijk. Dan test ik ze ook allemaal.
- Instellingen nalopen. Oude instellingen die op de verkeerde plek staan, kunnen op een nieuwe versie ineens een foutmelding geven. Die vind en herstel ik.
- Terug kunnen. Gaat er toch iets mis, dan zet ik de vorige versie terug zodat de site online blijft, en zoek ik daarna rustig de oorzaak.
Waarom je je hier als klant geen zorgen over hoeft te maken
Dit is waarom ik werk zoals ik werk. Als je een website bij mij afneemt, krijg je niet alleen een website. Je krijgt iemand die er daarna voor zorgt.
- Ik regel je hosting. Ik houd de server en de PHP-versie bij. Jij krijgt geen technische mails waar je iets mee moet.
- Ik onderhoud je website. Elke twee weken updates en dagelijks een back-up. Bij een nieuwe website is het eerste jaar onderhoud gratis.
- Ik schakel snel. Bij een lek als dit wacht ik niet tot iemand belt. Ik heb direct toegang tot je server en je website, dus ik kan meteen kijken en handelen.
- Je hebt één aanspreekpunt. Voor je hosting, je website en je e-mail. Even appen is genoeg.
Meer weten? Bekijk mijn hosting en onderhoud.
Staat je website ergens anders?
Dan zijn dit de dingen die ik je zou aanraden:
- Vraag je hostingpartij of de servers zijn bijgewerkt na het PHP-lek van 21 oktober.
- Controleer je PHP-versie. In WordPress zie je die onder Hulpmiddelen, dan Sitestatus, dan Info, bij Server. Staat er 8.1 of lager, dan moet je overstappen.
- Maak eerst een back-up voordat jij of je hostingpartij de versie omzet.
- Test je website daarna, inclusief je formulieren en, als je die hebt, je winkel.
Veelgestelde vragen
Is mijn website gehackt door het PHP-lek?
Niet automatisch. Een lek betekent dat er een deur open stond, niet dat er iemand door is gelopen. Belangrijk is dat je server nu op een bijgewerkte PHP-versie draait. Twijfel je, laat dan iemand meekijken naar je site en de logboeken van je server.
Ik ben klant bij Ybrand. Moet ik iets doen?
Nee. Ik heb alle hostingpakketten gecontroleerd, waar nodig bijgewerkt en getest, en daarna gedubbelcheckt of alles nog veilig was. Heb je toch een vraag, stuur me gerust een berichtje.
Kan ik mijn website een nieuwe PHP-versie zelf geven?
Dat kan, als je een back-up hebt en weet waar je moet kijken als het misgaat. Wil je er niet over hoeven nadenken, dan kun je je hosting bij mij onderbrengen.
Kun je mijn website naar jouw hosting verhuizen?
Ja. Ik regel de verhuizing van je website en e-mail, zodat jij er niets van merkt. Daarna houd ik alles bij.
Wil je je hier nooit meer zorgen over maken?
Een lek als dit komt vaker voor dan je denkt. Het verschil zit in wie er de volgende ochtend mee aan de slag gaat. Bij mij ben jij dat niet.
Twijfel je of je website veilig is, of wil je weten wat overstappen inhoudt? Stuur me een bericht. Ik kijk gratis even mee en vertel je eerlijk hoe je ervoor staat.
