# PHP-lek: HELP, wat moet ik nu doen!

> Twee kritieke PHP-lekken halen sites als DigiD en ziekenhuizen offline. Wat is er aan de hand, is jouw site kwetsbaar en wat doe je nu?

## PHP-lek: HELP, wat moet ik nu doen!

## Wat is er aan de hand?

Bijgewerkt woensdag 21 oktober 2026, 14:15. De kern in drie punten, op basis van berichtgeving van NOS, RD en Dutch IT Leaders.

### Twee kritieke kwetsbaarheden in PHP
Het gaat om twee kritieke lekken in de programmeertaal PHP: CVE-2026-109618 en CVE-2026-109619, elk met een risicoscore van 9,2 op 10. Aanvallers kunnen er mogelijk zelf code mee uitvoeren op een server. Volgens berichtgeving zitten ze vermoedelijk in alle huidige PHP-versies.
- Elke server met PHP op internet
- WordPress, Drupal, Magento, Laravel
- Openbare proof-of-concept bekend

### Grote sites haalden zichzelf offline
Uit voorzorg gingen onder meer MijnOverheid en DigiD, de website van de Tweede Kamer, Tweakers, het NCSC en sites van meerdere ziekenhuizen uit de lucht. EU-autoriteiten adviseerden dit eerder voor organisaties die niet kunnen patchen.
- Cloudflare ziet eerste aanvallen
- NCSC: update zo snel mogelijk

### Patch woensdag om 16.00 uur
PHP brengt woensdag 21 oktober om 16.00 uur Nederlandse tijd de permanente oplossing uit. Stand van 14:15: nog niet uitgebracht. Firewallregels, zoals die van Cloudflare, zijn alleen een noodmaatregel. Installeer de update zodra die er is.
- Firewall is alleen noodmaatregel
- Controleer zelf de PHP-versie

## Zo pak je het PHP-lek aan

Vijf stappen, in deze volgorde.

1. **Weet welke PHP-versie je draait** — Kijk in je hostingpaneel of vraag het je hostingpartij. Dit is de versie van PHP op de server, niet die van WordPress of een plugin.
2. **Weet wie PHP bijwerkt** — Bij beheerde hosting doet de beheerder het, bij een eigen of shared server vaak jijzelf. Leg dit vandaag vast, zodat niemand denkt dat een ander het doet.
3. **Update zodra de patch er is** — De permanente PHP-patch verschijnt woensdag om 16.00 uur. Installeer die direct en controleer daarna de versie.
4. **Kun je niet patchen? Beperk de schade** — Zet een firewall met extra regels voor de site, of haal de site tijdelijk offline. Dat is wat EU-autoriteiten adviseren als updaten nog niet kan.
5. **Test na de update** — Controleer formulieren, inloggen, betalen en de webshop. Kijk ook of de logs vreemde verzoeken laten zien van de afgelopen dagen.
Zie ook hosting en beheer · WordPress · Laravel maatwerk · WooCommerce.

## Vragen over het PHP-lek

### Is mijn WordPress-site kwetsbaar voor het PHP-lek?
Het lek zit in PHP, niet in WordPress zelf. Draait je site op een PHP-versie die nog niet is bijgewerkt, dan is hij vermoedelijk kwetsbaar, ook als WordPress en alle plugins up-to-date zijn.

### Moet ik mijn site offline halen?
Alleen als je niet kunt patchen of een firewall kunt inzetten. Is de update beschikbaar, dan is bijwerken beter dan offline gaan. Twijfel je, vraag dan advies.

### Wanneer komt de PHP-patch?
Volgens berichtgeving van NOS en RD brengt PHP de permanente oplossing uit op woensdag 21 oktober 2026 om 16.00 uur Nederlandse tijd.

### Zijn automatische updates genoeg?
Niet vanzelf. Wordfence waarschuwt dat site-eigenaren zelf moeten nagaan wie PHP bijwerkt en of dat is gebeurd. Controleer na de update de PHP-versie op de server.

### Kan Believe mijn site controleren?
Ja. Bel 0570 513008 of stuur een bericht. We kijken welke PHP-versie je draait en wat er nodig is.

## Twijfel je over
jouw site?

Wij controleren je PHP-versie en helpen met patchen en beheer. Bel 0570 513008, of stuur een bericht. Nieuwstraat 51a, Deventer.


---
*Gegenereerd door Presto! CMS voor [believe](https://believe-it.nl)*