Draait jouw website op PHP? Dit doe je vandaag.
Er zijn twee kritieke lekken in PHP bekendgemaakt. Daarop draaien onder meer WordPress, WooCommerce, Magento, Joomla, Drupal en Laravel. Werk PHP op je server bij naar een veilige versie en loop de checklist hieronder na.
Geen paniek nodig, wel actie. Wil je dat we meekijken? Plan een gratis gesprek.
Stand: 21 oktober 2026, we werken deze pagina bij. Door Saif Waleed Ibrahim, oprichter NEXTRIQ.
Wat er aan de hand is
Twee kritieke lekken in PHP
PHP is een programmeertaal waarop veel websites draaien. Op 21 oktober 2026 zijn er twee lekken in bekendgemaakt. Een aanvaller kan daarmee code op je server uitvoeren, zonder eerst in te loggen.
Elk lek heeft een vast nummer (een CVE). De ernst krijgt een score van 0 tot 10 (de CVSS-score). Beide lekken scoren 9,2: kritiek.
De lekken
- CVE-2026-109618CVSS 9,2 · kritiek
- CVE-2026-109619CVSS 9,2 · kritiek
Volgens Wiz Research zit minstens één van de twee lekken in elke PHP-versie vanaf 5.4.
Veilige versies
PHP 8.5
8.5.12
PHP 8.4
8.4.27
PHP 8.3
8.3.36
PHP 8.2
8.2.35
PHP 8.1 en ouder krijgen geen updates meer van de makers van PHP. Daar is de route upgraden, of een gepatchte versie van je leverancier.
Overheidssites uit voorzorg offline
Op 21 oktober 2026 haalde de Rijksoverheid Overheid.nl, MijnOverheid.nl en DigiD uit voorzorg offline.
Hoe staat het ervoor?
Het Nationaal Cyber Security Centrum (NCSC) zag op 21 oktober 2026 nog geen signalen van actief misbruik. Beveiligingsbedrijven Patchstack en Cloudflare meldden wel de eerste aanvalspogingen. Reden genoeg om vandaag te handelen.
Geldt dit voor mij?
Draait je site op PHP? Dan geldt dit voor jou.
Alle PHP-installaties die webverzoeken afhandelen lopen risico. Het maakt niet uit hoe je server PHP draait: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP of LiteSpeed. Dat zijn technische namen voor de manier waarop een server PHP uitvoert. Je hostingpartij weet welke je hebt.
WordPress
WooCommerce en Magento
Joomla en Drupal
Laravel en maatwerk
Vergeet deze niet
Een testsite (staging), een oude webshop die nog ergens online staat, een subdomein voor een actie of een klantportaal. Die zijn vaak vergeten, en juist daar wordt zelden bijgewerkt.
PHP 8.1 of ouder?
Daar komt geen update meer voor van de makers van PHP. Upgrade naar een ondersteunde versie, of vraag je leverancier om een gepatchte versie. Test een upgrade eerst op een kopie van je site.
Gebruikt je website geen PHP, zoals een statische site? Dan heb je met deze twee lekken niets te maken.
Checklist voor vandaag
Zes stappen die je vandaag zet
Loop ze op volgorde af. De meeste stappen zijn een mail of een telefoontje naar je hostingpartij.
- 01
Vraag je hosting of PHP is bijgewerkt
Vraag naar het exacte versienummer, niet alleen of het "geregeld" is. Veilig zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. - 02
Zet al je PHP-installaties op een rij
Denk verder dan je hoofdsite. Een testsite (staging), een oude webshop die nog online staat of een subdomein zoals shop.jouwbedrijf.nl draait vaak ook op PHP, soms bij een andere hostingpartij. - 03
Werk bij naar een veilige versie
Op PHP 8.1 of ouder komt geen update meer van de makers van PHP. Upgrade dan naar een ondersteunde versie, of gebruik een gepatchte versie van je leverancier. - 04
Installeer geen onofficiële "fix"
Er gaan snel plugins en stukjes code rond die het lek zouden dichten. Gebruik ze niet. Het lek zit in PHP op de server en wordt daar opgelost, door je hosting of door wie je server beheert. - 05
Kun je niet direct bijwerken? Overweeg onderhoudsmodus
Is het risico hoog en duurt bijwerken even, zet je site dan tijdelijk in onderhoudsmodus. Bezoekers zien een nette melding en je site verwerkt geen verzoeken. - 06
Test je formulier en je mail
Na een PHP-update gaat er soms iets kleins mis. Vul je contactformulier zelf in, doe een testbestelling als je een webshop hebt en kijk of de mail aankomt.
Zie je een van deze signalen? Behandel je server dan als mogelijk gecompromitteerd.
- Vreemde verzoeken met bestanden of formulierdata (multipart-verzoeken), direct gevolgd door geheugenfouten (memory-limit-fouten) in je logbestanden.
- Misvormde sessiecookies met de naam PHPSESSID.
- PHP-processen (workers) die zonder duidelijke reden opnieuw opstarten.
Dat zijn tekenen van gerichte aanvallen. Vervang dan alle wachtwoorden en sleutels (bijvoorbeeld van de database, de beheeromgeving en API-koppelingen) en laat de server grondig nakijken. Je hostingpartij kan in de logbestanden kijken.
Wat merk je ervan
Ook zonder inbraak kost dit je iets
Een lek gaat niet alleen over techniek. Je merkt het in je dagelijkse werk.
Aanvragen blijven liggen
Vertrouwen daalt
Je team verliest tijd
Zo helpt NEXTRIQ
Drie stappen, jij houdt de regie
Je houdt overzicht en controle bij elke stap. We leggen uit wat we zien, en jij beslist wat er gebeurt.
- 01
In kaart brengen
We zoeken samen uit welke sites, webshops, testsites en subdomeinen je hebt, waar ze draaien en welke PHP-versie erop staat. Zo weet je precies waar je staat. - 02
Opschonen en versterken
Bijwerken wat bijgewerkt moet worden, oude installaties die niemand meer gebruikt opruimen en toegang aanscherpen. Of we kijken samen naar de overstap naar een site die geen PHP-server nodig heeft. NEXTRIQ bouwt zelf statische sites: snelle pagina's zonder PHP op de server. - 03
Beheer en monitoring
Daarna houden we je sites bij en letten we op updates, zodat je bij het volgende lek niet opnieuw hoeft te zoeken.
Veelgestelde vragen
Vragen die we vandaag krijgen
Is mijn WordPress-site geraakt?
WordPress draait op PHP. Je site loopt dus risico zolang de PHP-versie op je server niet is bijgewerkt. Het lek zit in PHP zelf, niet in WordPress. Een update van WordPress of een plugin lost het daarom niet op: de PHP-versie op de server moet omhoog. Risico lopen betekent niet dat je site is aangevallen. Het betekent dat je vandaag moet nagaan of je server is bijgewerkt.
Mijn hosting zegt dat het geregeld is. Moet ik nog iets doen?
Vraag welke PHP-versie je site nu precies draait en vergelijk die met de veilige versies: 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Ga daarna na of al je installaties zijn meegenomen, ook testsites, oude webshops en subdomeinen. Die staan soms op een ander pakket of bij een andere partij. Test tot slot je contactformulier en of je mail nog aankomt.
Ik draai PHP 8.1 of ouder. Wat nu?
PHP 8.1 en ouder krijgen geen updates meer van de makers van PHP. Je hebt twee routes: upgraden naar een ondersteunde versie die is bijgewerkt, of een gepatchte versie gebruiken die je leverancier zelf levert. Een upgrade kan plugins of maatwerk laten haperen. Test hem daarom eerst op een kopie van je site.
Moet ik mijn site offline halen?
Niet standaard. Kun je niet direct bijwerken en is het risico hoog, bijvoorbeeld omdat je site klantgegevens verwerkt? Overweeg dan tijdelijk een onderhoudsmodus: bezoekers zien een nette melding en de site verwerkt even geen verzoeken. De Rijksoverheid koos daar uit voorzorg voor bij Overheid.nl, MijnOverheid.nl en DigiD.
Hoe zie ik welke PHP-versie mijn site gebruikt?
In het beheerpaneel van je hosting staat dit meestal bij de PHP-instellingen. In WordPress vind je het onder Hulpmiddelen, Sitediagnose (Site Health), tabblad Info, onderdeel Server. Kom je er niet uit, vraag het dan aan je hostingpartij. Die kan het direct zien.
Wat kost meekijken?
Het eerste gesprek is gratis en zonder verplichting. We kijken samen naar jouw situatie en zeggen eerlijk wat er nodig is. Wil je daarna hulp, dan krijg je eerst een voorstel. Pas als jij akkoord geeft, gaan we aan de slag.