Nee, je Shopify-winkel zelf loopt geen risico door het PHP-lek. Shopify draait niet op PHP en regelt de servers zelf. Wel kan het lek je winkel via een omweg raken: via apps die op PHP draaien, via een WordPress-blog naast je winkel of via een eigen koppeling op gewone hosting. Hieronder lees je hoe je dat in een kwartier nakijkt.

Wat is het PHP-lek ook alweer?

Op 21 oktober 2026 repareerde het PHP-team twee kritieke lekken, CVE-2026-109618 en CVE-2026-109619, ook wel PHP2Shell genoemd. Via die lekken kan een aanvaller zonder in te loggen code uitvoeren op een server die PHP gebruikt. De reparatie zit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. In het eerdere artikel over het PHP-lek lees je wat dit betekent voor WordPress-sites en andere sites op gewone hosting.

Het Nederlandse beveiligingsbedrijf Sansec, gespecialiseerd in webwinkels, schreef op 22 oktober dat massale aanvallen minder waarschijnlijk zijn dan eerst gedacht. Een aanval vraagt specifieke kennis van de server en bepaalde omstandigheden. Updaten blijft wel nodig. Sansec noemt Magento, Shopware en WooCommerce als webwinkelsoftware die geraakt wordt. Shopify staat daar niet tussen.

Waarom Shopify zelf niet geraakt wordt

Shopify is een gehost platform. Je huurt een winkel, maar je hebt geen eigen server en geen eigen PHP-versie. Shopify is gebouwd op Ruby on Rails, een andere programmeertaal, en beheert de techniek onder je winkel zelf. Je thema, je productpagina's en je afrekenpagina draaien dus niet op PHP.

Dat is het grote verschil met een webwinkel in WooCommerce of Magento. Daar draait de winkel op je eigen hostingpakket en moet je hoster de PHP-update installeren. Bij Shopify hoef je voor de winkel zelf niets te doen.

Waar het PHP-lek je Shopify-winkel toch kan raken

Een Shopify-winkel bestaat zelden alleen uit Shopify. Kijk naar wat er omheen hangt:

  • Apps uit de Shopify App Store: apps draaien niet bij Shopify, maar op de servers van de app-maker. Een deel van die apps is in PHP gebouwd, bijvoorbeeld met Laravel. Wordt zo'n server overgenomen, dan kan een aanvaller de toegang misbruiken die je die app gaf, zoals tot bestellingen en klantgegevens.
  • Een WordPress-blog of -site naast je winkel: veel winkels hebben een blog op blog.jouwwinkel.nl of een losse bedrijfssite in WordPress. Die draait wél op PHP en valt gewoon onder het lek.
  • Eigen koppelingen: een script dat bestellingen naar je boekhouding, voorraadsysteem of verzendpartij stuurt, staat vaak op gewone hosting en is vaak in PHP geschreven.
  • Een headless winkel: gebruik je Shopify alleen als achterkant en draait de voorkant elders, bijvoorbeeld op een PHP-framework, dan geldt het lek voor die voorkant.

Op Reddit kwam dezelfde vraag langs, met hetzelfde antwoord: Shopify gebruikt geen PHP, maar een getroffen app kan je winkel wel raken.

Zo check je je winkel in een kwartier

Loop je apps na

Ga in je Shopify-beheer naar Instellingen → Apps en verkoopkanalen. Verwijder apps die je niet meer gebruikt, want elke app is een deur naar je winkelgegevens. Weet je bij een app niet of die veilig is, stuur de maker dan een korte vraag: "Draait jullie app op PHP, en is de update voor CVE-2026-109618 en 109619 geïnstalleerd?" Een serieuze app-maker heeft daar snel een antwoord op.

Kijk wat er naast je winkel draait

Heb je een blog, landingspagina of oude bedrijfssite op een eigen domein of subdomein? Vraag dan je hoster of de PHP-update op dat pakket staat. De gratis websitecheck laat zien of zo'n site zijn PHP-versie aan iedereen toont. Gebruik je die site niet meer, haal hem dan weg in plaats van hem bij te werken.

Vraag na wie je koppelingen beheert

Heeft iemand ooit een koppeling voor je gebouwd, bijvoorbeeld met je boekhouding of magazijn? Vraag waar die draait en of de PHP-versie bijgewerkt is. Een koppeling via Shopify Flow of een gewone app valt onder de app-maker.

Houd je winkel de komende dagen in de gaten

Kijk in je beheer onder Instellingen → Gebruikers of er geen onbekende medewerkers zijn bijgekomen. Let ook op vreemde kortingscodes, gewijzigde betaalgegevens of bestellingen die je niet herkent. Zie je iets, verwijder dan niets en neem contact op met Shopify-support.

Veelgestelde vragen

Moet ik mijn Shopify-winkel offline halen?

Nee. Je winkel zelf draait niet op PHP. Ook voor webwinkels op PHP schrijft Sansec inmiddels dat offline halen niet nodig is, zolang je de update installeert.

Moet ik mijn Shopify-wachtwoord wijzigen?

Niet vanwege dit lek. Gebruik je voor je Shopify-beheer hetzelfde wachtwoord als voor een WordPress-site die nog niet bijgewerkt is, dan is een nieuw, uniek wachtwoord wel verstandig. Zet tweestapsverificatie aan als je dat nog niet hebt.

Ik zit op WooCommerce. Geldt dit artikel voor mij?

Nee, WooCommerce draait op WordPress en dus op PHP. Dan moet je hoster de update installeren. Lees daarvoor wat je bij het PHP-lek moet doen.

Kun jij mijn apps en koppelingen nakijken?

Ja. Ik loop je apps en koppelingen na, kijk welke sites er naast je winkel draaien en vraag de PHP-versie na bij hosters en app-makers. Je krijgt een kort overzicht van wat bijgewerkt of opgeruimd moet. Stuur me je winkeladres via het contactformulier.