Bekijk de belangrijkste inzichten van dit artikel met AI
Doe vandaag vier dingen. Vraag je hostingpartij om de PHP update van 16:00 uur meteen te installeren. Controleer je PHP versie. Maak een back-up die los van je server staat. Overweeg je site tijdelijk offline te halen tot de update erop staat.
Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Meer kun je zonder technische kennis niet doen, en meer hoeft ook niet. De rest is werk voor je developer of hostingpartij.
Stap 1: zet de update in gang
Dit is de enige echte oplossing, dus begin hier. De PHP Foundation bracht de oplossing uit op 21 oktober 2026 om 16:00 Nederlandse tijd. Stuur je hostingpartij vandaag nog een bericht met de vraag of ze direct daarna updaten. Zit je bij een bureau, vraag hetzelfde aan hen. De juiste vragen staan in wat je je hostingpartij vraagt over het PHP lek.
Stap 2: controleer je PHP versie
Je wilt weten of je straks wel een oplossing krijgt. PHP ondersteunt alleen versie 8.2 en nieuwer. Draai je iets ouders, dan heb je een extra probleem. Zie hoe je controleert welke PHP versie je website gebruikt en wat je doet als je op PHP 8.1 of ouder draait.
Stap 3: maak een back-up die los staat
Een back-up op dezelfde server is bij een hack weinig waard. Download vandaag een kopie van je bestanden en je database naar je eigen computer of een externe schijf. Raakt je site besmet, dan heb je altijd een versie van voor het probleem. Noteer de datum erbij, dat scheelt later zoekwerk.
Stap 4: overweeg offline te gaan
Dit klinkt drastisch, en sinds 22 oktober is het voor de meeste websites niet meer nodig. PHP kerndeveloper Gina Peter Banyard noemde offline gaan op 21 oktober de verstandigste keuze als je dat kon missen. Grote Nederlandse sites deden dat op 21 oktober ook. Inmiddels zijn ze allemaal weer online. Lees in moet ik mijn website tijdelijk offline halen wanneer dat bij jou past, en in waarom NCSC, Tweakers en de Tweede Kamer offline gingen hoe anderen die afweging maakten.
Vraag over je vindbaarheid
Wil je weten wat dit voor je ranking betekent?
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Het repareren van je server laat ik aan je hostingpartij. Over wat dit met je plek in Google doet, denk ik graag even met je mee.
Neem contact opWat je vooral niet moet doen
Er circuleren technische tips die je site onderuit kunnen halen. Beveiligingsbedrijf Sansec noemt bijvoorbeeld het blokkeren van formulierverkeer en het uitzetten van bepaalde PHP instellingen. Dat werkt, maar je legt er ook uploads, inlogformulieren en bestelprocessen mee plat. Laat dat over aan iemand die de server beheert. Zelf aanrommelen in configuratiebestanden is een slecht idee.
En daarna?
Na de update ben je nog niet helemaal klaar. Controleer of je site echt is bijgewerkt en of alles nog werkt. Loop daarna de signalen van een hack na, want een aanval van voor de update blijft bestaan. Zie hoe je weet of je website gehackt is. Meer achtergrond vind je in wat PHP2Shell is en wat je nu moet doen.
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Ik werk ruim vijf jaar in SEO en werkte met meer dan 75 klanten. Beveiliging is niet mijn vakgebied, maar een gehackte website kost altijd ook zichtbaarheid in Google. Daarom volg ik dit nieuws op de voet. De feiten in dit artikel komen van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC.
Wat is er op 22 oktober veranderd aan dit stappenplan?
Stap vier vervalt voor de meeste websites. Sansec schrijft dat de openbare exploits niet werken tegen een standaard PHP installatie en dat je je website niet offline hoeft te halen. Draai je nog PHP 8.1 of ouder en blijft je hostingpartij stil, dan blijft tijdelijk sluiten wel verstandig.
De eerste drie stappen blijven staan. Sterker nog, Amazon zag de eerste aanvalspogingen al op 17 oktober, vier dagen voor de bekendmaking. Dat meldt Security.NL op 22 oktober 2026. Snel updaten blijft dus het enige wat echt helpt.
Veelgestelde vragen over de eerste stappen
Ik licht graag een aantal veelgestelde vragen toe: Hoe snel moet dit echt?
Vandaag. Sansec verwachtte op 21 oktober grootschalige aanvallen vlak na de release. Een dag later stelde Sansec dat beeld bij.
Mijn site staat bij een groot hostingbedrijf, dan zit het wel goed?
Meestal wel, maar vraag het na. Het kost je een mail.
Moet ik mijn wachtwoorden wijzigen?
Dat is sowieso verstandig na een beveiligingsincident. Doe dat pas nadat de update erop staat, anders geef je een aanvaller je nieuwe wachtwoord cadeau.
Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.
Schreef eerder voor
Vond je dit artikel nuttig?Zet jessecommandeur.nl als voorkeursbron in Google. Dan zie je mijn artikelen vaker terug in de zoekresultaten en in AI antwoorden.
Voeg toe als voorkeursbron in Google
