Een PHP-versie is veilig als hij nog beveiligingsupdates krijgt en je hoster de laatste update heeft geïnstalleerd. Op dit moment zijn dat PHP 8.2, 8.3, 8.4 en 8.5. Voor het PHP-lek van oktober 2026 gaat het om minimaal versie 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Versies onder 8.2 krijgen geen gewone updates meer en zijn daarmee een risico.

Welke versies zijn veilig na het PHP-lek?

Op 21 oktober 2026 repareerde het PHP-team twee kritieke lekken, CVE-2026-109618 en CVE-2026-109619. Wat dat betekent en wat je die dag moest doen, lees je in PHP-lek: wat moet je nu doen?. Hier gaat het om de vraag welke versie je nu nodig hebt.

Per versie ziet dat er zo uit:

  • PHP 8.5: veilig vanaf 8.5.12.
  • PHP 8.4: veilig vanaf 8.4.27.
  • PHP 8.3: veilig vanaf 8.3.36.
  • PHP 8.2: veilig vanaf 8.2.35, maar alleen nog tot en met 31 december 2026.
  • PHP 8.1, 8.0 en 7.4: geen officiële update. PHP leverde wel losse reparaties die je hoster zelf moet inbouwen. Of dat gebeurd is, kun je alleen bij je hoster navragen.
  • Ouder dan 7.4: geen reparatie. Overstappen is de enige oplossing.

Is er sinds het lek een nieuwere update verschenen, dan geldt: de nieuwste versie binnen jouw reeks is de veilige.

Hoe je een PHP-versienummer leest

Een PHP-versie bestaat uit drie getallen, bijvoorbeeld 8.3.36. De eerste twee getallen, 8.3, zijn de reeks. Het derde getal is de update binnen die reeks.

Dat onderscheid is belangrijk. Updates binnen een reeks installeert je hoster meestal zelf, zonder dat je site er iets van merkt. De overstap naar een nieuwere reeks, zoals van 8.1 naar 8.3, moet je zelf kiezen. Dan kan het gebeuren dat een oude plugin of een oud thema niet meer werkt.

Hoe je het versienummer van je eigen site vindt, staat in draait je website op PHP?. In WordPress vind je het onder Gereedschap → Sitediagnose → Info → Server.

Tot wanneer krijgt jouw versie updates?

Het PHP-team publiceert de einddata jaren vooruit op php.net. De huidige stand:

  • PHP 8.5: beveiligingsupdates tot en met 31 december 2029.
  • PHP 8.4: beveiligingsupdates tot en met 31 december 2028.
  • PHP 8.3: beveiligingsupdates tot en met 31 december 2027.
  • PHP 8.2: beveiligingsupdates tot en met 31 december 2026.

Draait je site op 8.2, dan is het slim om de overstap nu al te plannen. Doe je dat in de laatste week van december, dan zit je met weinig tijd om problemen op te lossen.

Welke versie kies je als je overstapt?

Voor de meeste sites is PHP 8.3 of 8.4 een goede keuze. WordPress raadt 8.3 of nieuwer aan. PHP 8.5 is het nieuwst en krijgt het langst updates, maar niet elke plugin is daar al op getest.

Stap verstandig over:

  • Maak eerst een back-up van je bestanden en je database.
  • Test op een kopie van je site als je hoster dat aanbiedt.
  • Ga één reeks tegelijk omhoog als je site op een oude versie draait.
  • Controleer daarna je belangrijkste pagina's, je formulieren en eventueel je winkelwagen.

Wat er bij WordPress nog meer bij komt kijken, lees je in welke PHP-versie WordPress nodig heeft.

Veelgestelde vragen

Mijn hoster biedt alleen PHP 8.0 aan. Wat nu?

Vraag of je pakket naar een nieuwere server kan. Kan dat niet, dan is het tijd om over een andere hoster na te denken. Een hoster die geen ondersteunde versie aanbiedt, loopt achter met de rest van het onderhoud.

Is mijn site direct onveilig als de versie verloopt?

Hij werkt gewoon door. Maar nieuwe lekken worden niet meer gedicht, en bots zoeken juist naar sites op die oude versies.

Kun jij de overstap voor me doen?

Ja. Ik werk eerst bij op een kopie, test de belangrijkste pagina's en formulieren en zet het pas daarna live. Je krijgt vooraf een vaste prijs. Stuur me je website en je huidige PHP-versie via het contactformulier.