Vraag een voorstel aan
Nieuws · 21 oktober 2026

PHP-lek PHP2Shell: wat moet je als ondernemer doen?

Twee kritieke lekken in PHP, de taal onder de meeste websites. Dit is wat er bekend is, wat nog onzeker is en wat je vandaag kunt doen.

Gepubliceerd: 21 oktober 2026, 14:05 uur · Laatst bijgewerkt: · Door Ayoub Bouders

Status: de noodrelease voor PHP 8.2 tot en met 8.5 was gepland voor 16:00 uur. Controleer op php.net welke versie je nodig hebt. Wij werken dit bericht bij zodra we de officiële release-informatie hebben gecontroleerd.

Wat is er aan de hand?

Het gaat om twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, samen PHP2Shell genoemd. Ze krijgen de hoogste ernst (CVSS 9,2 van 10). In gewone taal: een aanvaller kan op afstand eigen code laten draaien op een server met PHP, zonder in te loggen.

De technische details lekten op 20 oktober uit, voordat er een oplossing was. Daarom heeft PHP een noodrelease gepland voor woensdag 21 oktober om 14:00 UTC (16:00 Nederlandse tijd), voor de ondersteunde versies 8.2 tot en met 8.5. Voor PHP 8.1 en ouder is geen officiële oplossing aangekondigd.

Wat is zeker, en wat nog niet?

  • Zeker: de lekken zijn kritiek en de details zijn openbaar. De NCSC adviseert zo snel mogelijk te updaten.
  • Gemeld: diverse grote Nederlandse organisaties hebben uit voorzorg onderdelen offline gehaald, waaronder DigiD en MijnOverheid.
  • Nog onzeker: Cloudflare meldt de eerste aanvallen. Andere bronnen hebben nog geen bevestigd misbruik gezien. Die berichten spreken elkaar tegen, dus gaan we uit van het zekere voor het onzekere.

Wat betekent dit voor jouw website?

Draait je website op PHP, zoals WordPress, WooCommerce, Joomla of maatwerk, dan is hij kwetsbaar tot de PHP-versie op de server is bijgewerkt. Draai je op een website-bouwer zonder eigen PHP-server, dan regelt je leverancier dat. Bij veel ondernemers is het niet duidelijk wie de PHP-versie bijwerkt: de bouwer, de hostingpartij of niemand.

Wat kun je vandaag doen?

  1. Zoek je PHP-versie op. In WordPress: Hulpmiddelen, Sitegezondheid, tabblad Info, onderdeel Server.
  2. Vraag je hostingpartij wanneer de update wordt geïnstalleerd en of PHP daarna opnieuw wordt gestart. Een update zonder herstart beschermt niet.
  3. Maak een back-up van bestanden en database en bewaar die buiten je server.
  4. Werk WordPress, thema’s en plugins bij en haal weg wat je niet gebruikt.
  5. Draai je PHP 8.1 of ouder? Plan de overstap naar een ondersteunde versie.
  6. Let op vreemde dingen: onbekende beheerders, nieuwe bestanden in de uploadmap, een site die opeens traag is.

Dit zijn algemene stappen en geen garantie. Het volledige overzicht met bronnen staat op itlive.nl/php-lek.

Liever dat wij het nakijken en oplossen?

Tot en met dinsdag 4 november doen we de PHP-lek check & fix voor €37,50 excl. btw per website: controle, snelle misbruikcheck, bijwerken tot maximaal 1 uur werk en een kort rapport. Daar krijg je een gratis SEO-audit met verbeterplan (10 punten) bij, zodat je site veilig én beter vindbaar wordt. Het werk start pas na jouw akkoord.

Bekijk de actie

Bronnen

Meer over websites en updates? Lees 5 tekenen dat je website achterloopt op updates.