Ernstig beveiligingslek in PHP: wat betekent het voor jouw website?

In PHP, de techniek waar onder andere WordPress op draait, zijn twee ernstige beveiligingslekken ontdekt. PHP brengt vandaag om 16:00 een officiële update uit. Wordt je website bij ZwaarVet gehost? Dan is hij al beschermd en hoef je niets te doen. Host je ergens anders? Hieronder lees je wat er speelt en wat je nu kunt doen.

Wat is er aan de hand?

De makers van PHP waarschuwen voor twee kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. Daarmee kan een aanvaller op afstand eigen code uitvoeren op een server. In vaktaal heet dat remote code execution.

De lekken krijgen een score van 9,2 op 10 op de CVSS-schaal. Die score geeft aan hoe groot de impact is en hoe makkelijk een lek te misbruiken is. Alles boven de 9 geldt als kritiek.

Wat dit extra zorgelijk maakt:

• Er gaat al een voorbeeldaanval rond. Daarin is te zien hoe een aanvaller de inlog van websites met WordPress of Joomla omzeilt, met niet meer dan een eenvoudig script.
• Bijna alle versies zijn geraakt. Volgens beveiligingsonderzoekers van Watchtowr zitten de lekken in alle PHP-versies sinds PHP 5.
• Het nieuws kwam eerder naar buiten dan gepland. PHP wilde de details op donderdag bekendmaken. Nadat er informatie uitlekte, is dat vervroegd naar vandaag.

Waarom raakt dit zoveel websites?

PHP is de programmeertaal waarop het grootste deel van de websites draait, waaronder elke WordPress-website en -webshop (WooCommerce). Je merkt er als bezoeker niets van, maar zonder PHP werkt de website niet. Een lek in PHP zit dus niet in één plug-in of thema, maar in het fundament eronder.

Website gehost bij ZwaarVet? Dan ben je al beschermd

Toen het nieuws vanochtend naar buiten kwam, hebben we direct contact gezocht met onze hostingpartner. Zij bevestigden dat er al beveiligingsmaatregelen op serverniveau actief zijn, voor alle PHP-versies die zij ondersteunen. Dat was geregeld vóór de officiële update van vanmiddag.

Voor jou betekent dat:

• Je hoeft niets te doen. Je website kan gewoon online blijven.
• We blijven monitoren. Na de officiële release houden we alle websites nauwlettend in de gaten en controleren we of alles veilig en up-to-date blijft.
• Is er toch iets nodig, dan hoor je dat direct van ons.

Wil je weten hoe onze hosting en ons onderhoud werken? Bekijk hosting en onderhoud.

Website ergens anders gehost? Doe dit vandaag

1. Vraag je hostingpartij of er maatregelen zijn genomen en wanneer de officiële PHP-update wordt doorgevoerd. Een goede hostingpartij kan dat vandaag concreet beantwoorden.
2. Zoek uit welke PHP-versie je website gebruikt. Dat zie je in het beheerpaneel van je hosting. In WordPress staat het onder Gereedschap → Sitestatus → Info → Server.
3. Plan de update direct na de release. Test bij een grote versiesprong eerst of plug-ins en thema’s goed blijven werken, bij voorkeur op een testomgeving.
4. Draait je website nog op PHP 7? Die versie krijgt al sinds eind 2022 geen beveiligingsupdates meer. Of er voor oudere versies nog een oplossing komt, is op het moment van schrijven niet bekend. Plan een upgrade naar een ondersteunde versie.
5. Controleer wie er toegang heeft. Kijk in WordPress of er geen onbekende beheerders bij zijn gekomen, en wijzig bij twijfel de wachtwoorden.

Weet je niet zeker hoe het bij jouw website zit? Neem contact met ons op. We kijken welke PHP-versie je website gebruikt en wat er nodig is.

Waarom onderhoud geen luxe is

Een website is na de lancering niet klaar. Lekken als deze komen onverwacht en vragen om snelle actie: weten welke versies je draait, korte lijnen met de hostingpartij en iemand die het in de gaten houdt. Juist dat regelen we voor websites die we hosten en onderhouden, zodat jij er op een dag als vandaag niet wakker van hoeft te liggen.

---

Bron: Tweakers, 21 oktober 2026.