Bekijk de belangrijkste inzichten van dit artikel met AI
Draait je website op PHP, dan loop je gevaar. Dat geldt voor vrijwel elke WordPress site, webshop en bedrijfswebsite. De enige echte oplossing is de PHP update die op 21 oktober 2026 om 16:00 Nederlandse tijd uitkwam.
Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Het lek zit in PHP zelf en niet in je thema, je plugins of je website. Daarom helpt het niet om je plugins bij te werken. Je server moet bijgewerkt worden.
Voor wie geldt dit?
De kwetsbaarheden raken elke webserver met PHP 5.4 of nieuwer. Dat is een heel brede groep. PHP 5.4 is uit 2012. Volgens Sansec vallen daarmee alle actieve PHP versies binnen het bereik, inclusief de nieuwste. Wereldwijd draait ongeveer zeventig procent van alle websites op PHP, dus de kans dat jij erbij hoort is groot. Hoe je dat zeker weet, lees je in hoe je controleert welke PHP versie je website gebruikt.
Hoe groot is het risico echt?
Beide lekken krijgen een score van 9,2 op een schaal van 10 van het PHP beveiligingsteam. Een aanvaller hoeft niet in te loggen en heeft geen wachtwoord nodig. Hij stuurt een verzoek naar je website en voert daarmee zijn eigen code uit. Cloudflare meldde op 21 oktober om 07:43 UTC al de eerste aanvallen, dus er wordt actief gezocht naar kwetsbare sites. Wat er precies aan de hand is, staat in wat PHP2Shell is en wat je nu moet doen.
Maakt de grootte van je bedrijf uit?
Nee, en dat is een hardnekkig misverstand. Aanvallers scannen het hele internet automatisch. Ze zoeken geen bekende merken, ze zoeken een open deur. Een kleine website van een hovenier is net zo bruikbaar als een grote webshop. Vaak worden die kleine sites doorverkocht of gebruikt om spam te versturen.
Ben je veilig met een onderhoudspagina?
Helaas niet, en dat is belangrijk om te weten. PHP verwerkt elk binnenkomend verzoek voordat jouw website zelf iets doet. De onderhoudsmodus van WordPress komt dus pas daarna aan bod. Sansec wijst daar nadrukkelijk op. Wil je echt veilig zijn, dan moet PHP zelf stoppen. Zie moet ik mijn website tijdelijk offline halen.
Vraag over je vindbaarheid
Loopt jouw vindbaarheid ook risico?
Een gehackte website verliest vaak binnen dagen zijn plek in Google. Wil je weten hoe kwetsbaar jouw site daarvoor is, stuur me gerust een bericht.
Neem contact opWat als je op gedeelde hosting zit?
Dan ligt de oplossing bij je hostingpartij. Bij gedeelde hosting beheer je de server niet zelf. Je hostingpartij installeert de PHP update voor alle klanten tegelijk. Vraag wel even wanneer ze dat doen, want daar zit verschil in. Gebruik hiervoor de vragen uit wat je je hostingpartij vraagt over het PHP lek.
Wanneer loop je extra risico?
Er zijn drie situaties waarin je scherper moet opletten. De eerste is een oude PHP versie. PHP ondersteunt alleen 8.2 en nieuwer. Op oudere versies komt de oplossing via je distributie of je hostingpartij, en niet via php.net. Lees daarover wat je doet als je nog op PHP 8.1 of ouder draait.
De tweede is een eigen server of VPS die je zelf beheert. Dan moet jij of je developer de update doen. De derde is een webshop met klantgegevens en betalingen. Daar is de schade het grootst. Zie of je webshop kwetsbaar is voor het PHP lek.
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Ik werk ruim vijf jaar in SEO en werkte met meer dan 75 klanten. Beveiliging is niet mijn vakgebied, maar een gehackte website kost altijd ook zichtbaarheid in Google. Daarom volg ik dit nieuws op de voet. De feiten in dit artikel komen van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC.
Hoe groot is het risico op 22 oktober?
Kleiner dan het op 21 oktober leek. Sansec onderzocht de openbare exploits en meldt dat die niet werken tegen een standaard PHP installatie. De meeste hebben een tweede lek in de website zelf nodig, bijvoorbeeld local file inclusion. Een aanvaller moet dus iets weten over juist jouw server.
Toch is nietsdoen geen optie. Amazon zag de eerste aanvalspogingen al op 17 oktober, vier dagen voor de bekendmaking. Dat meldt Security.NL op 22 oktober 2026.
Er is nog een reden om snel te updaten. CVE-2026-109618 lekt ook geheugen van de server. Volgens Sansec kan dat wachtwoorden, sessietokens en api sleutels van andere bezoekers bevatten. Daar heeft een aanvaller geen tweede lek voor nodig.
Veelgestelde vragen over het risico
Ik licht graag een aantal veelgestelde vragen toe: Loop ik ook gevaar als mijn site op Wix of Squarespace staat?
Die platforms draaien niet op jouw PHP installatie. Zij regelen de beveiliging zelf. Heb je WordPress, WooCommerce, Magento, Shopware, Joomla of Drupal, dan geldt dit artikel wel voor jou.
Mijn website is net gebouwd, ben ik dan veilig?
Nee. Ook de nieuwste PHP versies zijn geraakt. Nieuw betekent hier niet veilig.
Ik heb een beveiligingsplugin, is dat genoeg?
Nee. Een plugin draait binnen WordPress en komt dus te laat. De aanval speelt zich af in PHP zelf.
Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.
Schreef eerder voor
Vond je dit artikel nuttig?Zet jessecommandeur.nl als voorkeursbron in Google. Dan zie je mijn artikelen vaker terug in de zoekresultaten en in AI antwoorden.
Voeg toe als voorkeursbron in Google
