Weet welke PHP-versie je draait
Kijk in je hostingpaneel of vraag het je hostingpartij. Dit is de versie van PHP op de server, niet die van WordPress of een plugin.
PHP-lek: HELP, wat moet ik nu doen!
Op 21 oktober 2026 zijn twee kritieke kwetsbaarheden in PHP bekend geworden. Meerdere grote websites zijn uit voorzorg offline gehaald. PHP draait onder WordPress, Drupal, Joomla, Magento en Laravel, dus ook jouw site kan geraakt zijn. Hier lees je wat er speelt en wat je nu doet.
Bijgewerkt op
Het nieuws
Wat is er aan de hand?
Bijgewerkt woensdag 21 oktober 2026, 14:15. De kern in drie punten, op basis van berichtgeving van NOS, RD en Dutch IT Leaders.
Het lek
Twee kritieke kwetsbaarheden in PHP
Het gaat om twee kritieke lekken in de programmeertaal PHP: CVE-2026-109618 en CVE-2026-109619, elk met een risicoscore van 9,2 op 10. Aanvallers kunnen er mogelijk zelf code mee uitvoeren op een server. Volgens berichtgeving zitten ze vermoedelijk in alle huidige PHP-versies.
- Elke server met PHP op internet
- WordPress, Drupal, Magento, Laravel
- Openbare proof-of-concept bekend
De gevolgen
Grote sites haalden zichzelf offline
Uit voorzorg gingen onder meer MijnOverheid en DigiD, de website van de Tweede Kamer, Tweakers, het NCSC en sites van meerdere ziekenhuizen uit de lucht. EU-autoriteiten adviseerden dit eerder voor organisaties die niet kunnen patchen.
- Cloudflare ziet eerste aanvallen
- NCSC: update zo snel mogelijk
De oplossing
Patch woensdag om 16.00 uur
PHP brengt woensdag 21 oktober om 16.00 uur Nederlandse tijd de permanente oplossing uit. Stand van 14:15: nog niet uitgebracht. Firewallregels, zoals die van Cloudflare, zijn alleen een noodmaatregel. Installeer de update zodra die er is.
- Firewall is alleen noodmaatregel
- Controleer zelf de PHP-versie
Wat je nu doet
Zo pak je het PHP-lek aan
Vijf stappen, in deze volgorde.
Weet wie PHP bijwerkt
Bij beheerde hosting doet de beheerder het, bij een eigen of shared server vaak jijzelf. Leg dit vandaag vast, zodat niemand denkt dat een ander het doet.
Update zodra de patch er is
De permanente PHP-patch verschijnt woensdag om 16.00 uur. Installeer die direct en controleer daarna de versie.
Kun je niet patchen? Beperk de schade
Zet een firewall met extra regels voor de site, of haal de site tijdelijk offline. Dat is wat EU-autoriteiten adviseren als updaten nog niet kan.
Test na de update
Controleer formulieren, inloggen, betalen en de webshop. Kijk ook of de logs vreemde verzoeken laten zien van de afgelopen dagen.
Veelgestelde vragen
Vragen over het PHP-lek
Is mijn WordPress-site kwetsbaar voor het PHP-lek?
Het lek zit in PHP, niet in WordPress zelf. Draait je site op een PHP-versie die nog niet is bijgewerkt, dan is hij vermoedelijk kwetsbaar, ook als WordPress en alle plugins up-to-date zijn.
Moet ik mijn site offline halen?
Alleen als je niet kunt patchen of een firewall kunt inzetten. Is de update beschikbaar, dan is bijwerken beter dan offline gaan. Twijfel je, vraag dan advies.
Wanneer komt de PHP-patch?
Volgens berichtgeving van NOS en RD brengt PHP de permanente oplossing uit op woensdag 21 oktober 2026 om 16.00 uur Nederlandse tijd.
Zijn automatische updates genoeg?
Niet vanzelf. Wordfence waarschuwt dat site-eigenaren zelf moeten nagaan wie PHP bijwerkt en of dat is gebeurd. Controleer na de update de PHP-versie op de server.
Kan Believe mijn site controleren?
Ja. Bel 0570 513008 of stuur een bericht. We kijken welke PHP-versie je draait en wat er nodig is.
Twijfel je over
jouw site?
Wij controleren je PHP-versie en helpen met patchen en beheer. Bel 0570 513008, of stuur een bericht. Nieuwstraat 51a, Deventer.