Bekijk de belangrijkste inzichten van dit artikel met AI
Stel je hostingpartij vier vragen. Welke PHP versie draait mijn website? Hebben jullie de update van 21 oktober 2026 al geinstalleerd? Moet ik zelf iets doen? En hoe laten jullie weten dat het klaar is?
Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Bij gedeelde hosting doet jouw hostingpartij het werk. Jij hoeft alleen te zorgen dat het op hun lijst staat.
Vraag 1: welke PHP versie draai ik?
Dit bepaalt of je straks een officiele oplossing krijgt. PHP ondersteunt alleen versie 8.2 en nieuwer. Hoor je een oudere versie, vraag dan meteen of ze je kunnen overzetten. Zelf kijken kan ook, zie hoe je controleert welke PHP versie je website gebruikt.
Vraag 2: wanneer installeren jullie de update?
Het antwoord dat je wilt horen is: die staat er al op. De oplossing kwam om 16:00 Nederlandse tijd uit. Sansec verwachtte op 21 oktober grootschalige aanvallen vlak daarna. Op 22 oktober stelde Sansec dat beeld bij. Een hostingpartij die zegt het volgende onderhoudsmoment mee te nemen, geeft het verkeerde antwoord. Vraag dan door.
Vraag 3: moet ik zelf iets doen?
Soms moet je zelf een knop omzetten. Bij sommige pakketten kies jij de PHP versie in het klantenpaneel. Dan installeert je hostingpartij de nieuwe versie wel, maar schakelt jouw website pas over als jij dat aangeeft. Vraag dit expliciet na, want hier gaat het vaak mis.
Vraag 4: hoe hoor ik dat het klaar is?
Je wilt een bevestiging, geen aanname. Vraag om een bericht zodra de update staat. Controleer daarna of je website nog normaal werkt: inloggen, formulieren, afrekenen. Werkt iets niet meer, meld het meteen.
Vraag over je vindbaarheid
Krijg je geen helder antwoord van je hostingpartij?
Soms helpt het als iemand anders de juiste vraag stelt. Loop je vast, laat het me weten, dan kijk ik mee naar wat er echt speelt.
Neem contact opEen voorbeeldbericht dat je kunt kopieren
Houd het kort en concreet. Beste team, vanwege de kritieke PHP kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 wil ik graag weten welke PHP versie mijn website draait, of jullie de update van 21 oktober 2026 al hebben geinstalleerd en of ik zelf iets moet doen. Graag een bevestiging zodra het klaar is.
Wat als je geen antwoord krijgt?
Dan heb je een beslissing te nemen. Blijft het stil en draai je een oude PHP versie, overweeg dan je website tijdelijk offline te halen tot je wel iets hoort. Zie moet ik mijn website tijdelijk offline halen. Een tussenoplossing is je site achter Cloudflare zetten, maar dat is geen vervanging van de update. Lees helpt Cloudflare tegen het PHP lek. De achtergrond staat in wat PHP2Shell is en wat je nu moet doen.
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Ik werk ruim vijf jaar in SEO en werkte met meer dan 75 klanten. Beveiliging is niet mijn vakgebied, maar een gehackte website kost altijd ook zichtbaarheid in Google. Daarom volg ik dit nieuws op de voet. Mijn ervaring is dat hostingpartijen die dit soort meldingen serieus nemen, binnen een paar uur reageren. De feiten in dit artikel komen van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC.
Twee extra vragen sinds 22 oktober
Draai je PHP 8.1 of ouder, vraag dan welke build zij gebruiken. Het PHP beveiligingsteam leverde bronpatches voor 7.4, 8.0 en 8.1, en pakketbeheerders zoals Debian, Ubuntu, Remi en CloudLinux bouwden de fix terug. Zo een pakket houdt het oude versienummer, dus aan het nummer zie je het niet.
Kunnen ze nog niet updaten, vraag dan naar de tijdelijke maatregelen van Sansec. Dat zijn het blokkeren van multipart verkeer in de webserver en het uitzetten van session.upload_progress. PHP kerndeveloper Gina Peter Banyard waarschuwt dat die laatste instelling alleen niet genoeg is.
Veelgestelde vragen over je hostingpartij
Ik licht graag een aantal veelgestelde vragen toe: Moet ik hiervoor betalen?
Bij de meeste hostingpartijen niet. Een beveiligingsupdate hoort bij het onderhoud van de server.
Ik heb een eigen server, geldt dit dan ook?
Dan moet jij of je developer het zelf doen. Op een eigen server of VPS komt de update niet vanzelf binnen.
Mijn site staat bij mijn webbouwer, bij wie moet ik zijn?
Begin bij je webbouwer. Zij weten bij welke partij de server staat en kunnen het meteen regelen.
Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.
Schreef eerder voor
Vond je dit artikel nuttig?Zet jessecommandeur.nl als voorkeursbron in Google. Dan zie je mijn artikelen vaker terug in de zoekresultaten en in AI antwoorden.
Voeg toe als voorkeursbron in Google
