Bekijk de belangrijkste inzichten van dit artikel met AI
Cloudflare helpt tijdelijk, maar het is geen oplossing. Cloudflare zette filters klaar tegen bekende aanvallen, ook voor gratis accounts. De eigen topman noemt het een noodverband. Alleen de PHP update lost het echt op.
Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Toch is dat noodverband nuttig, zeker als je hostingpartij nog niet heeft gereageerd.
Wat doet Cloudflare precies?
Het zet een filter voor je website. Al het verkeer gaat eerst langs Cloudflare. Daar worden aanvragen die op een bekende aanval lijken tegengehouden. Volgens Cloudflare zijn die regels actief voor alle klanten, ook op het gratis pakket, en worden ze bijgewerkt zodra aanvallers iets nieuws proberen.
Waarom is het geen echte oplossing?
Een filter kent alleen de aanvallen die het al heeft gezien. Cloudflare topman Dane Knecht noemt de regels zelf een noodverband. Zodra aanvallers een variant bedenken die het filter niet herkent, komt die er gewoon doorheen. Het lek in PHP blijft bestaan tot je server is bijgewerkt. Zie wat PHP2Shell is en wat je nu moet doen.
Er zit nog een addertje onder het gras
Dit vergeten mensen vaak, en het maakt de bescherming waardeloos. Cloudflare beschermt alleen verkeer dat er ook echt langs gaat. Kent een aanvaller het directe adres van je server, dan omzeilt hij het filter. Je firewall moet dus alleen verkeer van Cloudflare accepteren. Dat is werk voor je developer of hostingpartij.
Vraag over je vindbaarheid
Twijfel je of je instellingen je SEO raken?
Een strenge firewall kan ook Googlebot buitensluiten. Dat zie je pas weken later terug in je posities. Wil je dat laten controleren, neem dan contact op.
Neem contact opIs het de moeite waard om het nu aan te zetten?
Alleen als je al bij Cloudflare zit. Ben je nieuw, dan moet je je domeinnaam naar de nameservers van Cloudflare verhuizen. Die wijziging kan uren duren. Je haalt het dus waarschijnlijk niet voor de aanvallen. In dat geval is tijdelijk offline gaan een snellere en veiligere keuze.
Wat doe je dan wel?
Houd de volgorde simpel. Zet de PHP update in gang bij je hostingpartij, want dat is de echte oplossing. Zie wat je je hostingpartij vraagt over het PHP lek. Gebruik Cloudflare alleen als extra laag in de tussentijd, en controleer daarna je site op sporen via hoe je weet of je website gehackt is.
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Ik werk ruim vijf jaar in SEO en werkte met meer dan 75 klanten. Beveiliging is niet mijn vakgebied, maar een gehackte website kost altijd ook zichtbaarheid in Google. Daarom volg ik dit nieuws op de voet. Ik zie Cloudflare bij klanten vooral als snelheids en beveiligingslaag. Handig, maar nooit een vervanging van onderhoud. De feiten in dit artikel komen van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC.
Welke regel helpt wel, volgens Sansec
Sansec noemt op 22 oktober een concrete tijdelijke maatregel. Elke bekende aanval gebruikt een verzoek van het type multipart, het formaat dat browsers gebruiken voor uploads. Blokkeer je die verzoeken in je webserver of in je firewall, dan sluit je de bekende route af.
Daar zit wel een prijs aan. Je legt er je uploads mee plat, en bij sommige websites ook je formulieren en je bestelproces. Laat dit dus door je developer doen, test daarna een bestelling, en haal de regel weg zodra de PHP update erop staat.
Dit blijft een noodverband. Het lek zit in PHP, dus onder je website en onder je firewall. Alleen de update van je hostingpartij lost het echt op.
Veelgestelde vragen over Cloudflare
Ik licht graag een aantal veelgestelde vragen toe: Werkt het gratis pakket ook?
Volgens Cloudflare gelden de regels voor alle klanten, inclusief het gratis pakket.
Moet ik iets instellen?
Zorg dat je domein op Proxied staat en dat de beheerde beveiligingsregels aanstaan.
Kan ik Cloudflare daarna weer uitzetten?
Dat kan, maar er is weinig reden toe. Het is ook los van dit lek een nuttige laag.
Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.
Schreef eerder voor
Vond je dit artikel nuttig?Zet jessecommandeur.nl als voorkeursbron in Google. Dan zie je mijn artikelen vaker terug in de zoekresultaten en in AI antwoorden.
Voeg toe als voorkeursbron in Google
