Bekijk de belangrijkste inzichten van dit artikel met AI
Draai je PHP 8.1 of ouder, dan komt er geen gewone release van php.net. Toch is er wel een oplossing. Het PHP beveiligingsteam leverde bronpatches voor 7.4, 8.0 en 8.1, en veel pakketbeheerders bouwden de fix terug. Vraag je hostingpartij welke build zij gebruiken, en laat je daarna overzetten naar een ondersteunde versie.
Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Dit raakt meer websites dan je denkt. Veel sites draaien nog jaren door op de versie waarop ze ooit zijn gebouwd.
Waarom is een oude versie nu een probleem?
Omdat php.net voor die versies geen gewone release uitbrengt. Sansec wijst daar nadrukkelijk op. Alleen PHP 8.2 tot en met 8.5 krijgen een reguliere release. Op PHP 8.1, 8.0 of 7.4 komt de fix via je distributie of je hostingpartij. Blijft die uit, dan staat het lek open. Je bent dan afhankelijk van je hostingpartij, die de oplossing eventueel zelf kan terugbouwen naar jouw versie.
Wat vraag je je hostingpartij?
Stel twee korte vragen. De eerste: bouwen jullie de oplossing terug naar mijn PHP versie? De tweede: kunnen jullie mij overzetten naar een ondersteunde versie, en wat moet ik daarvoor regelen? Gebruik verder de vragen uit wat je je hostingpartij vraagt over het PHP lek.
Kun je zomaar overstappen?
Technisch vaak wel, maar er zit een risico aan. Een oud thema of een oude plugin kan stuklopen op een nieuwere PHP versie. Daarom hoort er een test bij, het liefst op een kopie van je site. Laat dit doen door je developer. Zie ook hoe je controleert welke PHP versie je website gebruikt.
Vraag over je vindbaarheid
Oude PHP versie, en wat doet dat met Google?
Oude versies zijn trager, en snelheid telt mee in je vindbaarheid. Wil je weten wat een overstap jou oplevert, laat het me weten.
Neem contact opEn als overstappen niet lukt?
Dan is een gepatcht pakket van je distributie de beste optie. Lukt ook dat niet, dan blijft je website tijdelijk uit de lucht halen de veiligste keuze. Lees moet ik mijn website tijdelijk offline halen. Een filter als Cloudflare kan helpen als rem, maar is geen oplossing. Zie helpt Cloudflare tegen het PHP lek en de achtergrond in wat PHP2Shell is en wat je nu moet doen.
Zie dit als een duwtje in de rug
Een oude PHP versie is sowieso geen goed idee. Nieuwere versies zijn sneller, wat je laadtijd en daarmee je vindbaarheid helpt. Ze krijgen bovendien beveiligingsupdates. Plan die overstap dus in, ook als je het nu met een noodgreep oplost.
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Ik werk ruim vijf jaar in SEO en werkte met meer dan 75 klanten. Beveiliging is niet mijn vakgebied, maar een gehackte website kost altijd ook zichtbaarheid in Google. Daarom volg ik dit nieuws op de voet. Bij klanten kom ik nog regelmatig PHP 7.4 tegen. Dat is al jaren uit de ondersteuning, en dagen als 21 oktober laten zien waarom dat riskant is. De feiten in dit artikel komen van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC.
Waar komt de fix voor oude versies vandaan?
Sansec zette op 22 oktober 2026 op een rij welke partijen de oplossing terugbouwden. Op Debian en Ubuntu komt die van deb.sury.org van Ondrej Sury, gratis, voor 5.6 tot en met 8.1. Op RHEL, AlmaLinux en Rocky Linux komt die van de repository van Remi, ook gratis. Gebruik je cPanel op CloudLinux, dan dekken zij alles vanaf PHP 5.2.
Er zijn ook betaalde routes, zoals TuxCare en ZendPHP. En let op: de officiele Docker image van PHP krijgt geen fix voor 8.1 of ouder.
Belangrijk detail: zo een gerepareerd pakket houdt het oude versienummer. Je blijft dus 8.1.34 zien, terwijl de fix er wel in zit. Aan het versienummer alleen kun je het niet aflezen. Vraag je hostingpartij om bevestiging, of laat je developer het CVE nummer in het changelog van het pakket opzoeken.
Veelgestelde vragen over oude PHP versies
Ik licht graag een aantal veelgestelde vragen toe: Mijn site draait prima op PHP 7.4, waarom zou ik wisselen?
Omdat er geen beveiligingsupdates meer voor komen. Prima draaien zegt niets over veilig zijn.
Kost overstappen geld?
De versie wisselen meestal niet. Het testen en het repareren van oude plugins kost wel tijd.
Wat als mijn plugins niet werken op een nieuwe versie?
Dan is dat het echte probleem. Verouderde plugins zijn zelf ook een veelgebruikte ingang voor aanvallers.
Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.
Schreef eerder voor
Vond je dit artikel nuttig?Zet jessecommandeur.nl als voorkeursbron in Google. Dan zie je mijn artikelen vaker terug in de zoekresultaten en in AI antwoorden.
Voeg toe als voorkeursbron in Google
