Op 21 oktober 2026 bracht PHP noodupdates uit voor twee ernstige lekken. Draait je website op WordPress of een ander PHP-systeem? Dan lees je hier wat je moet doen.
Op 21 oktober 2026 bracht PHP, de programmeertaal waarop onder meer WordPress, Joomla en de meeste webshops draaien, dringende beveiligingsupdates uit. Ze dichten twee kritieke lekken, intussen bekend als PHP2Shell. Wie een website heeft, doet er goed aan om even na te gaan of zijn server bijgewerkt is.
Wat is er aan de hand?
Het gaat om twee lekken in PHP zelf (CVE-2026-109618 en CVE-2026-109619), elk met een ernstscore van 9,2 op 10. In de slechtste gevallen kan een aanvaller via een speciaal opgestelde aanvraag zijn eigen code op de server laten uitvoeren, zonder dat hij ergens hoeft in te loggen. Dat maakt de lekken zo gevaarlijk: elke website die op een kwetsbare PHP-versie draait, is in principe een doelwit.
De details lekten op 20 oktober vroegtijdig uit, waarna PHP de updates een dag eerder uitbracht dan gepland. Beveiligingsonderzoekers zien sindsdien pogingen om de lekken te misbruiken. Er zijn al voorbeeldaanvallen gepubliceerd, al werken die volgens Rapid7 telkens maar in heel specifieke omstandigheden.
Is mijn website kwetsbaar?
Kwetsbaar zijn alle PHP-versies van 5.4 tot en met 8.5.11. De veilige versies zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12, of een gelijkwaardige versie van je hostingpartij met dezelfde correcties. Grote hostingbedrijven passen die vaak toe zonder het versienummer te veranderen. Draait je site nog op PHP 8.1 of ouder? Dan krijg je normaal geen updates meer, en is overschakelen naar een recente versie de veiligste keuze.
Belangrijk: het lek zit in PHP en niet in WordPress of je plugins. Een update van WordPress lost het dus niet op. De oplossing moet op de server gebeuren.
Wat moet je doen?
- Vraag het na bij je hostingpartij. Is PHP op jouw server al bijgewerkt? De meeste professionele hostingbedrijven hebben dat intussen gedaan, maar ga er niet blind van uit.
- Beheer je zelf een server? Installeer de updates via je pakketbeheer en herstart daarna PHP (PHP-FPM) en je webserver. Lopende processen blijven anders de oude, kwetsbare code gebruiken.
- Draai je een oude PHP-versie? Plan een overstap naar PHP 8.3 of 8.4. Kijk vooraf na of je thema en plugins daarmee overweg kunnen.
- Houd je website in de gaten. Onbekende beheerders, vreemde bestanden of plotse doorverwijzingen kunnen wijzen op een inbraak. Zorg ook voor een recente back-up.
Hosting bij VCO
Host je je website bij VCO? Dan hoef je niets te doen. Op onze server zijn de gecorrigeerde PHP-versies op 22 oktober geïnstalleerd en is de webserver herstart. Daarnaast hebben we de extra beschermende instellingen die PHP aanraadt al ingeschakeld. Meer weten over onze aanpak? Lees onze tips over websitebeveiliging voor kleine zaken of bekijk onze hosting en onderhoud.
