Op 21 oktober 2026 zijn twee ernstige beveiligingslekken in PHP bekendgemaakt.
PHP is een veelgebruikte programmeertaal waarop onder andere websites, webshops en online applicaties draaien. De kwetsbaarheden kunnen ervoor zorgen dat aanvallers toegang krijgen tot een server, zonder dat zij daarvoor hoeven in te loggen.
Het Nationaal Cyber Security Centrum (NCSC) heeft een waarschuwing gepubliceerd en adviseert organisaties om hun PHP-installaties met spoed bij te werken.
Niet zeker of dit jouw website raakt? Neem contact met ons op, dan zoeken wij het voor je uit.
Wat is er aan de hand?
Het gaat om twee fouten in PHP zelf, bekend als CVE-2026-109618 en CVE-2026-109619. Beide krijgen 9,2 van de 10 voor ernst. Een aanvaller kan via internet code laten draaien op je server, zonder wachtwoord.
Het probleem zit niet in een plug-in of thema, maar in de software eronder. Een website die verder helemaal bij is, kan dus toch kwetsbaar zijn.
Welke websites lopen risico?
Alles wat op PHP draait zoals WordPress, Drupal, Joomla en webshops. Maar denk ook aan maatwerkapplicaties en die oude website waar al jaren niemand meer naar kijkt.
Een aanvaller met toegang tot de server kan onder meer:
- Klantgegevens en databases inzien
- Je website aanpassen of er schadelijke code op zetten
- Je website of applicatie platleggen
- Via de server verder in je netwerk komen
Dat betekent niet dat elke PHP-website is gehackt. Wel staat een kwetsbare website open voor misbruik.
Wat moet je doen?
Zorg dat PHP is bijgewerkt naar (minimaal) een van deze versies:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Draai je PHP 8.1 of ouder? Dan komt er geen officiële update meer. Overstappen naar een nieuwere versie is dan de enige echte oplossing, tenzij je hoster de fix zelf heeft doorgevoerd.
Laat je website door een hostingpartij of webbouwer beheren? Vraag dan of de update erop staat en laat dat bevestigen. Beheer je de server zelf, dan moet je de update zelf uitvoeren.
Weet je niet welke PHP-versie je gebruikt? Wij kijken het na en denken mee over een update.
Kun je niet meteen updaten?
Een firewall alleen is geen oplossing. Zie dat hooguit als tijdelijke extra bescherming. Kan de update echt niet direct, beperk dan de toegang tot de website totdat het wel kan.
Een werkende website is niet automatisch een veilige website
Je website kan gewoon online zijn en er normaal uitzien, terwijl de techniek eronder een open deur heeft. Daarom is het belangrijk dat niet alleen de website, maar ook de server en PHP actief worden bijgehouden.
Wacht niet
De update is er, de lekken zijn bekend en dus zullen aanvalspogingen toenemen. Hoe langer een kwetsbare website online staat, hoe groter de kans dat iemand hem vindt. Check vandaag nog welke PHP-versie je gebruikt en laat hem zo nodig bijwerken. Lukt dat niet zelf, of weet je niet wie dit voor je beheert? Neem contact met ons op.
