Er zitten twee ernstige lekken in PHP, de software waar ongeveer 70 procent van alle websites op draait, waaronder elke WordPress-site. Via die lekken kan een aanvaller van buitenaf de server overnemen. Op woensdag 21 oktober is de reparatie verschenen. Hieronder lees je wat dit voor jouw website betekent en wat je nu regelt.

Wat betekent dit voor jou?

Heb je een WordPress-site, of een andere site die op PHP draait, vraag dan vandaag nog aan je hoster of websitebouwer of de update is geïnstalleerd. Draait je site op een oude PHP-versie, vraag dan ook of die versie gerepareerd is. Is het antwoord nee of weet niemand het, dan is je site tijdelijk offline halen veiliger dan afwachten.

Wat is er aan de hand?

Het PHP-team heeft een beveiligingsbericht uitgebracht over twee kritieke lekken, met de nummers CVE-2026-109618 en CVE-2026-109619. Beide krijgen een ernstscore van 9,2 op 10. De reparatie zit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Informatie over de lekken lekte eerder uit, daarom is de update naar voren gehaald.

Volgens PHP kan een aanvaller de aanval uitvoeren voordat de code van je website zelf draait, zonder in te loggen. Het maakt dus niet uit of je site een contactformulier heeft. PHP schrijft er ook bij dat er geen volledige tijdelijke oplossing is: alleen updaten maakt je site echt veilig.

De Europese cyberdienst CERT-EU raadt aan de update zo snel mogelijk te installeren. Lukt dat niet, schakel dan internettoepassingen die op PHP draaien uit tot dat wel kan. In Nederland zijn uit voorzorg onder meer NotuBiz, het systeem waarmee gemeenten vergaderstukken publiceren, en delen van het SURF-netwerk offline gehaald, meldt NU.nl.

Waarom het vandaag om uren gaat

Zodra een update verschijnt, kunnen aanvallers zien wat er gerepareerd is. Daarmee schrijven ze een aanvalsscript, en daarna scannen ze automatisch het hele internet op sites die nog niet bijgewerkt zijn. Vroeger duurde dat dagen. Beveiligingsexperts verwachten nu dat het met AI-hulpmiddelen binnen uren lukt.

Een aanvaller zoekt dus niet jouw website uit omdat je interessant bent. Een script probeert gewoon alle sites, ook die van een kleine praktijk of een eenmanszaak.

Hoe weet je of je site risico loopt?

Je site loopt risico als hij op PHP draait. Dat geldt voor WordPress, Joomla, Drupal, WooCommerce en de meeste webshops op gewone hosting. Sites op Wix, Squarespace, Shopify of Webflow beheert het platform zelf; daar hoef je meestal niets te doen.

Daarna is de vraag welke PHP-versie je site gebruikt:

  • PHP 8.2, 8.3, 8.4 of 8.5: voor deze versies is de officiële reparatie er. Je hoster moet die nog wel installeren.
  • PHP 8.1, 8.0 of 7.4: deze versies krijgen geen gewone updates meer. Vanwege de ernst heeft PHP er wel losse reparaties bij geleverd, die een hoster zelf moet inbouwen. Sommige hosters doen dat, andere niet. Vraag het na.
  • Ouder dan 7.4: hiervoor komt geen reparatie. Hier zit het grootste risico.

Je vindt de versie in WordPress onder Extra → Sitestatus, of in je hostingpaneel onder een kopje als "PHP-versie". De gratis websitecheck laat ook zien of je site zijn versie aan iedereen laat zien.

Wat je vandaag regelt

Vraag het je hoster

Bij gewone hosting installeert de hoster PHP, niet jij. Stuur een korte mail: "Is de PHP-update voor CVE-2026-109618 en 109619 op mijn pakket geïnstalleerd, en geldt dat ook voor mijn PHP-versie?" Een goede hoster heeft daar vandaag een antwoord op.

Zet je site op een ondersteunde versie

Draait je site op een oude versie en biedt je hoster 8.3 of hoger aan, overweeg dan nu over te stappen. Doe dat wel met een back-up vooraf, ga één versie tegelijk omhoog en controleer na elke stap je pagina's en je formulier. Gaat er iets mis, dan zet je bij de meeste hosters met één klik de vorige versie terug.

Haal je site tijdelijk offline als er geen reparatie komt

Krijg je geen duidelijk antwoord, of krijgt jouw versie geen reparatie? Formulieren uitzetten helpt dan niet, want de aanval werkt ook zonder. PHP noemt een paar serverinstellingen die het risico verkleinen, maar zegt er zelf bij dat ze een site niet veilig maken, en alleen je hoster kan ze aanpassen. Het veiligste is dan je site tijdelijk te vervangen door een eenvoudige pagina met je telefoonnummer en e-mailadres, tot de reparatie er is. Een paar dagen zonder website is vervelend. Een overgenomen server met gegevens van klanten is veel erger.

Houd het de komende dagen in de gaten

Let op vreemde doorverwijzingen, onbekende gebruikers in WordPress en meldingen van je hoster of van Google Search Console. Zie je iets, verwijder dan niets en bel je bouwer of hoster.

Veelgestelde vragen

Moet ik mijn website offline halen?

Niet als je hoster de update installeert. Wel overwegen als je site op een oude PHP-versie draait die geen reparatie krijgt, en zeker als je site gegevens van klanten of cliënten bewaart.

Is mijn site al gehackt?

Daar is geen reden om van uit te gaan. Het gaat erom dat je de reparatie snel binnen hebt, voordat aanvallers massaal gaan scannen.

Ik heb geen idee wie mijn hosting regelt. Wat nu?

Kijk op je laatste factuur voor hosting of domeinnaam, of vraag het aan degene die je site ooit heeft gebouwd. Kom je er niet uit, dan zoek ik het met je uit.

Kun jij dit voor me nakijken?

Ja. Ik kijk welke PHP-versie je site gebruikt, vraag het bij je hoster na en help je zo nodig met de overstap naar een nieuwere versie of een tijdelijke vervangpagina. Stuur me je website via het contactformulier.