Bekijk de belangrijkste inzichten van dit artikel met AI
Bel eerst je developer of hostingpartij. Haal je website offline, verander nog geen bestanden en bewaar de logbestanden. Pas daarna wordt er schoongemaakt, hersteld en opnieuw beveiligd.
Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
De eerste reactie van veel ondernemers is zelf gaan opruimen. Dat is begrijpelijk, maar het werkt vaak averechts.
Stap 1: zet je site stil
Zo stop je de schade en bescherm je je bezoekers. Vraag je hostingpartij om je website tijdelijk offline te zetten of op een onderhoudspagina. Blijft je site online, dan loopt het risico door dat bezoekers besmet raken of dat gegevens weglekken.
Stap 2: bewaar het bewijs
Dit vergeten mensen bijna altijd, en het kost later tijd. Vraag om een kopie van de logbestanden van de afgelopen dagen en maak een volledige back-up van de huidige, besmette situatie. Daarmee kan een specialist zien hoe de aanvaller binnenkwam. Verwijder zelf geen bestanden.
Stap 3: laat de oorzaak vinden
Zonder de oorzaak is schoonmaken zinloos. Was het een verouderde plugin, een gestolen wachtwoord of een lek in PHP zelf? Juist nu is dat laatste een reeel scenario. Lees wat PHP2Shell is en wat je nu moet doen. Wordt de ingang niet gedicht, dan is de aanvaller binnen een week terug.
Stap 4: herstel en update
Nu pas komt het terugzetten aan de beurt. Zet een schone back-up terug van voor de hack, werk PHP, WordPress, je thema en je plugins bij en wijzig alle wachtwoorden. Doe dat in deze volgorde, anders geef je je nieuwe wachtwoord meteen weg. Zie ook hoe je controleert welke PHP versie je website gebruikt.
Vraag over je vindbaarheid
Je site is schoon, en nu je vindbaarheid?
Na een hack is herstel in Google een apart traject. Denk aan het opruimen van spampagina’s en een nieuwe beoordeling aanvragen bij Google. Daar help ik graag bij.
Neem contact opStap 5: ruim de schade in Google op
Hier komt mijn vakgebied om de hoek kijken. Staat er een waarschuwing in Search Console, vraag dan een nieuwe beoordeling aan zodra de site schoon is. Controleer daarna wat er van je site in de index staat en laat de spamresultaten verwijderen. Wat dit met je posities doet, lees je in wat een hack met je vindbaarheid in Google doet.
Moet je het melden?
Soms wel, en dan zit er haast bij. Zijn er persoonsgegevens gelekt, dan geldt de meldplicht datalekken. Een melding bij de Autoriteit Persoonsgegevens moet in de regel binnen 72 uur na ontdekking. Informeer je klanten als hun gegevens geraakt zijn. Meer over het risico bij webshops staat in of je webshop kwetsbaar is voor het PHP lek.
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Ik werk ruim vijf jaar in SEO en werkte met meer dan 75 klanten. Beveiliging is niet mijn vakgebied, maar een gehackte website kost altijd ook zichtbaarheid in Google. Daarom volg ik dit nieuws op de voet. Ik heb klanten na een hack geholpen om hun posities terug te winnen. Dat lukt, maar het kost maanden en het is altijd duurder dan op tijd updaten. De feiten in dit artikel komen van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC.
Vergeet je sleutels en wachtwoorden niet
Er is een reden om verder te gaan dan alleen opschonen. Sansec meldt op 22 oktober dat CVE-2026-109618 geheugen van de server lekt. Daar kunnen wachtwoorden, sessietokens en api sleutels van andere bezoekers in zitten.
Vervang daarom na het herstel je beheerderswachtwoorden, je database wachtwoord en je api sleutels. Doe dat pas nadat de PHP update erop staat, anders lekken de nieuwe gegevens net zo hard weg.
Veelgestelde vragen na een hack
Ik licht graag een aantal veelgestelde vragen toe: Is een back-up terugzetten genoeg?
Alleen als je ook de ingang dicht. Anders zet je je site terug en ben je een week later weer de klos.
Hoe weet ik of ik een schone back-up heb?
Kies er een van ruim voor de eerste signalen. Laat je developer die versie controleren voordat je hem live zet.
Hoe lang duurt herstel?
Technisch vaak een tot enkele dagen. Je zichtbaarheid in Google heeft langer nodig.
Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.
Schreef eerder voor
Vond je dit artikel nuttig?Zet jessecommandeur.nl als voorkeursbron in Google. Dan zie je mijn artikelen vaker terug in de zoekresultaten en in AI antwoorden.
Voeg toe als voorkeursbron in Google
