Twee lekken in PHP, de programmeertaal onder WordPress, WooCommerce en de meeste andere websites, laten aanvallers een webserver overnemen zonder in te loggen. Het NCSC, DigiD en de Tweede Kamer haalden hun sites op 21 oktober uit voorzorg offline. PHP brengt dezelfde dag om 16:00 uur een update uit. Draait je website of webshop op PHP, check dan vandaag nog of je hoster die update installeert.
Direct weten of jouw site risico loopt? Doe de check hieronder: drie vragen, of laat je website automatisch checken.
Stand: 21 oktober 2026, 13:30 uur. We werken dit artikel bij zodra PHP de update heeft uitgebracht.
Wat is er aan de hand?
Het gaat om twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Ze kregen allebei een risicoscore van 9,2 op een schaal van 10. Via de lekken kan iemand van buitenaf eigen code op je server laten draaien. Dan kan hij bij alles wat op die server staat: je website, je klantgegevens en je bestellingen.
De details zouden pas op donderdag 22 oktober openbaar worden, maar lekten op 20 oktober al uit. Beveiligingsbedrijf watchTowr bevestigde dat de lekken echt zijn en wist er één na te bootsen. Daarom haalde PHP de update naar voren.
Het Nationaal Cyber Security Centrum (NCSC) heeft nog geen misbruik gezien, maar noemt "ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar". Cloudflare ziet wel al de eerste aanvallen. De Europese cyberdienst CERT-EU raadt aan om websites die je niet snel kunt bijwerken van internet af te schermen tot er een update is.
Loopt jouw website risico?
Loopt je website risico door het PHP-lek?
Drie vragen, dan weet je of je vandaag iets moet regelen.
Stap 1 van 3
Waar draait je website op?
Weet je het niet zeker? Je webbouwer of hoster kan het je zo vertellen.
Stap 2 van 3
Welke PHP-versie gebruikt je site?
In WordPress: Tools > Sitediagnose > Informatie > Server, bij "PHP versie".
Stap 3 van 3
Wie beheert de server van je site?
Betaal je een hoster per maand voor een pakket, dan regelt die de server.
Je hoeft niets te doen
De leverancier beheert de servers en werkt ze zelf bij. Heb je daarnaast een eigen blog of app op andere hosting, doe de check dan voor die site.
Vraag het vandaag na
Mail je webbouwer of hoster één vraag: draait mijn site op PHP, en wanneer staat de update erop? Tot je antwoord hebt, ga je uit van risico.
Hoog risico: voor jouw versie komt geen update
PHP brengt alleen updates uit voor 8.2 tot en met 8.5. Maak een back-up en laat je site vandaag overzetten naar 8.2 of hoger. Lukt dat niet snel, scherm de site dan af of haal hem tijdelijk offline, zoals de Europese cyberdienst CERT-EU adviseert.
Zoek eerst je PHP-versie op
In WordPress staat hij onder Tools > Sitediagnose > Informatie > Server. Geen WordPress? Je hoster of webbouwer kan het je in één mail vertellen. Doe daarna deze check opnieuw.
Je hoster werkt PHP bij, check wanneer
Hosters als Hostnet, Antagonist, Vimexx en Combell werken PHP zelf bij; je hoeft niets te installeren. Kijk op de statuspagina van je hoster wanneer het gebeurt. Vraagt een mail je om in te loggen of een wachtwoord te sturen, dan is die nep.
Jij bent aan zet: update PHP direct
Installeer de update zodra PHP hem uitbrengt; beveiligingsbedrijf Sansec verwacht aanvallen binnen een kwartier. Zet tot die tijd de PHP-instelling session.upload_progress.enabled uit. Dat verkleint het risico, maar dicht het lek niet.
Stand 21 oktober 2026. Een update van WordPress of je plugins dicht dit lek niet; alleen een PHP-update helpt.
We tellen anoniem welke antwoorden gekozen worden, zonder cookie en zonder dat het aan jou te koppelen is. Bron: PHP Group, aankondiging beveiligingsupdate 21 oktober 2026. Gecontroleerd op 21 oktober 2026.
PHP draait op 69,3 procent van alle websites waarvan bekend is welke programmeertaal ze gebruiken. WordPress alleen staat op 39,6 procent van alle websites (W3Techs, 21 oktober 2026).
- WordPress, WooCommerce, Joomla, Drupal, Magento of PrestaShop: draait op PHP. Check je PHP-versie en wat je hoster doet.
- Maatwerk in PHP of Laravel: draait op PHP. Vraag je ontwikkelaar wanneer de update erop staat.
- Shopify, Wix of Squarespace: de leverancier beheert de servers, dus je hoeft zelf niets bij te werken. Tenzij je naast je winkel een eigen blog of app op andere hosting draait.
Kijk ook verder dan je website. Een klantportaal, boekingssysteem of databasebeheer zoals phpMyAdmin op dezelfde server draait vaak ook op PHP.
Welke PHP-versie heeft je website?
In WordPress zie je dat zo:
- Log in op WordPress.
- Ga in het menu naar Tools en kies Sitediagnose.
- Open het tabblad Informatie en klik op Server.
- Achter "PHP versie" staat welke versie je site gebruikt.
Staat er 8.2, 8.3, 8.4 of 8.5, dan komt er een update voor jouw versie. Staat er 8.1, 8.0, 7 of 5, dan brengt PHP zelf geen update uit, want die versies onderhoudt PHP niet meer. Sommige hosters en Linux-leveranciers maken wel een eigen reparatie, vraag dat na. Ruim een derde van alle PHP-websites draait nog op PHP 7 of ouder.
Wat moet je vandaag doen?
1. Check wat je hoster doet
Bij gedeelde of beheerde hosting werkt je hoster PHP bij, niet jij. Dit melden grote hosters op hun statuspagina (stand 21 oktober, 13:30 uur):
- Hostnet: Onderhoud van 16:00 tot 23:00 uur, sites kunnen een paar minuten onbereikbaar zijn. "Je hoeft zelf niets te doen."
- Antagonist: Zet op alle servers een noodmaatregel aan en werkt PHP na de release bij. Sites kunnen even trager zijn. "Je hoeft zelf niets te doen."
- Vimexx: Werkt alle servers direct na de release bij. Een eigen, niet-beheerde server werk je zelf bij. Draai je PHP 8.1 of lager, stap dan zo snel mogelijk over naar 8.2 of hoger.
- Combell: Heeft al maatregelen genomen op gedeelde hosting en beheerde cloud. Klanten hoeven zelf niets te doen.
Staat jouw hoster er niet tussen? Kijk op hun statuspagina of mail ze één vraag: wanneer staat de PHP-update op mijn server? Weet je niet precies wat je hoster voor je regelt, lees dan eerst alles over domeinnamen en webhosting.
2. Eigen server? Dan ben jij aan zet
Heb je een VPS of een eigen server, dan installeer je de update zelf of laat je dat je ontwikkelaar doen. Doe dat direct na de release: beveiligingsbedrijf Sansec verwacht massale aanvallen binnen een kwartier. Tot de update erop staat, adviseren Patchstack, Sansec en Vimexx de PHP-instelling session.upload_progress.enabled uit te zetten. Antagonist heeft dat al op al zijn servers gedaan. Dat verkleint het risico, maar dicht het lek niet.
3. PHP 8.1 of ouder? Upgraden of offline
Voor deze versies brengt PHP geen update uit. Maak eerst een back-up. Laat je hoster of ontwikkelaar je site daarna overzetten naar PHP 8.2 of hoger en test hem, want oude plugins en thema's werken soms niet op een nieuwe PHP-versie. Lukt dat niet snel, volg dan het advies van CERT-EU en haal de site tijdelijk van internet.
4. Een WordPress-update lost dit niet op
Wordfence, de bekendste beveiligingsplugin voor WordPress, waarschuwt dat de automatische updates van WordPress deze fix niet installeren. Het lek zit in PHP zelf, de software op de server. Je plugins bijwerken helpt hier dus ook niet.
5. Cloudflare helpt, maar is niet genoeg
Cloudflare heeft regels tegen de aanvallen toegevoegd, ook voor gratis klanten. De technisch directeur van Cloudflare noemt dat zelf een noodoplossing. Volgens Sansec komt een aanvaller er ook omheen als hij het IP-adres van je server kent. Laat PHP dus hoe dan ook bijwerken.
Hoe herken je een nepmail van je hoster?
Cybersecurityexpert Erik Jan Koedijk waarschuwt voor criminelen die zich voordoen als je hoster en om inloggegevens vragen voor een "dringende beveiligingsupdate". Hostnet, Antagonist en Combell schrijven alle drie dat klanten zelf niets hoeven te doen. Vraagt een mail je om in te loggen of een wachtwoord te sturen, klik dan niet. Ga via je eigen bladwijzer naar het klantpaneel of bel je hoster.
Wat doe je als je site toch gehackt is?
Zie je beheerders in WordPress die je niet kent, bestanden of pagina's die je niet hebt gemaakt, of stuurt je site bezoekers door naar een andere site? Dan is er mogelijk ingebroken.
- Bel direct je hoster of ontwikkelaar en haal de site zo nodig offline.
- Wijzig alle wachtwoorden en sleutels: WordPress, hosting, database, FTP en gekoppelde diensten zoals je betaalprovider.
- Stonden er persoonsgegevens op de server, zoals klantgegevens in je webshop? Dan heb je mogelijk een datalek. Dat meld je binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek risico oplevert voor de mensen om wie het gaat. Is het risico hoog, dan laat je het hen ook weten. Leg elk datalek ook vast in je eigen datalekregister, ook als je het niet hoeft te melden. De site van de AP lag op 21 oktober zelf uit voorzorg offline; probeer het dan later opnieuw, want de termijn van 72 uur loopt door. Meer hierover lees je in Privacyregels voor ondernemers.
- Heb je een cyberverzekering, meld het dan meteen bij je verzekeraar.
Dit soort updates niet meer zelf regelen?
Bij beheerde hosting werkt je hoster PHP voor je bij, zoals Hostnet en Antagonist vandaag doen. Twijfel je of je hosting nog past, vergelijk dan pakketten in de hostingvergelijker. Meer over de basis lees je in Cybercrime voorkomen: maak je bedrijf digitaal veilig in 5 stappen.
Wil je bij het volgende lek meteen weten wat je moet doen? Schrijf je in voor de nieuwsbrief van De Zaak.
