Weet welke PHP-versie je draait
Kijk in je hostingpaneel of vraag het je hostingpartij. Dit is de versie van PHP op de server, niet die van WordPress of een plugin.
PHP-lek: HELP, wat moet ik nu doen!
Op 21 oktober 2026 zijn twee kritieke kwetsbaarheden in PHP bekend geworden. Meerdere grote websites zijn uit voorzorg offline gehaald. PHP draait onder WordPress, Drupal, Joomla, Magento en Laravel, dus ook jouw site kan geraakt zijn. Hier lees je wat er speelt en wat je nu doet.
Bijgewerkt op
Het nieuws
Wat is er aan de hand?
Er is een ernstig probleem geconstateerd bij diverse PHP versies.
Het lek
Twee kritieke kwetsbaarheden in PHP
Het gaat om twee kritieke lekken in de programmeertaal PHP, allebei met een risicoscore van 9,2 op 10: CVE-2026-109618 en CVE-2026-109619. Aanvallers kunnen er zonder inloggen code mee uitvoeren op een server. Getroffen zijn PHP-versies vóór 8.2.35, 8.3.36, 8.4.27 en 8.5.12.
- Elke server met PHP op internet
- WordPress, Drupal, Magento, Laravel
- Geen inlog nodig voor aanvallers
De gevolgen
Grote sites haalden zichzelf offline
Uit voorzorg gingen onder meer MijnOverheid en DigiD, de website van de Tweede Kamer, Tweakers, het NCSC en sites van meerdere ziekenhuizen uit de lucht. EU-autoriteiten adviseerden dit eerder voor organisaties die niet kunnen patchen.
- Cloudflare ziet eerste aanvallen
- NCSC: update zo snel mogelijk
De oplossing
De patch is uit: update nu
PHP heeft de permanente oplossing uitgebracht en de updates worden nu uitgerold. Stand van 16:08: de gepatchte versies zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Een firewall, zoals die van Cloudflare, is alleen een noodmaatregel. Installeer de update zodra jouw hoster of server hem aanbiedt.
- PHP 8.5.12 en 8.4.27
- PHP 8.3.36 en 8.2.35
- Firewall is alleen noodmaatregel
Wat je nu doet
Zo pak je het PHP-lek aan
Vijf stappen, in deze volgorde.
Weet wie PHP bijwerkt
Bij beheerde hosting doet de beheerder het, bij een eigen of shared server vaak jijzelf. Leg dit vandaag vast, zodat niemand denkt dat een ander het doet.
Update naar een gepatchte versie
Installeer PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12, of nieuwer, en controleer daarna de versie. Draai je een andere versie, vraag dan je hoster of die is gepatcht.
Kun je niet patchen? Beperk de schade
Zet een firewall met extra regels voor de site, of haal de site tijdelijk offline. Dat is wat EU-autoriteiten adviseren als updaten nog niet kan.
Test na de update
Controleer formulieren, inloggen, betalen en de webshop. Kijk ook of de logs vreemde verzoeken laten zien van de afgelopen dagen.
Veelgestelde vragen
Vragen over het PHP-lek
Is mijn WordPress-site kwetsbaar voor het PHP-lek?
Het lek zit in PHP, niet in WordPress zelf. Draait je site op een PHP-versie die nog niet is bijgewerkt, dan is hij vermoedelijk kwetsbaar, ook als WordPress en alle plugins up-to-date zijn.
Moet ik mijn site offline halen?
Alleen als je niet kunt patchen of een firewall kunt inzetten. Nu de update beschikbaar is, is bijwerken beter dan offline gaan. Twijfel je, vraag dan advies.
Is er al een PHP-patch?
Ja. PHP heeft op woensdag 21 oktober 2026 updates uitgebracht: 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Je hoster rolt ze nu uit. Controleer of jouw server een van deze versies of nieuwer draait.
Zijn automatische updates genoeg?
Niet vanzelf. Wordfence waarschuwt dat site-eigenaren zelf moeten nagaan wie PHP bijwerkt en of dat is gebeurd. Controleer na de update de PHP-versie op de server.
Kan Believe mijn site controleren?
Ja. Bel 0570 513008 of stuur een bericht. We kijken welke PHP-versie je draait en wat er nodig is.
Twijfel je over
jouw site?
Wij controleren je PHP-versie en helpen met patchen en beheer. Bel 0570 513008, of stuur een bericht. Nieuwstraat 51a, Deventer.