PHP-lek van 21 oktober: wat betekent het voor jouw website?
Wat is er gebeurd?
Op 21 oktober 2026 bracht PHP een dringende update uit voor twee kritieke lekken (CVE-2026-109618 en CVE-2026-109619). PHP is de software op de server waar WordPress, WooCommerce en veel andere websites op draaien. Via die lekken kan iemand van buitenaf, zonder in te loggen, code op een server laten uitvoeren.
In België en Nederland haalden heel wat organisaties hun site die dag uit voorzorg offline, onder meer websites van de Vlaamse overheid en Smartschool, en in Nederland een aantal websites van de Rijksoverheid. Het Centrum voor Cybersecurity België (CCB) raadt aan de update zo snel mogelijk te installeren. CERT-EU raadt aan te overwegen je site af te schermen tot de update erop staat; WordPress.org raadt bij PHP ouder dan 8.2 op eigen hosting aan te overwegen je server tijdelijk offline te halen.
Bronnen: php.net, VRT NWS, Rijksoverheid, VRT NWS liveblog (CCB), NCSC, CERT-EU, WordPress.org.
Ben ik getroffen?
Draait je site op WordPress of een andere PHP-toepassing? Dan moet je dit nakijken. Belangrijk om te weten: het lek zit niet in WordPress of in een plugin, maar in PHP zelf. WordPress of je plugins updaten lost het dus niet op.
Zo check je het:
- Ga in WordPress naar Extra (Tools) > Sitediagnose > Info > Server en kijk naar de PHP-versie.
- Gepatcht zijn: 8.2.35, 8.3.36, 8.4.27, 8.5.12 of hoger binnen dezelfde reeks.
- Staat er 8.1 of ouder? Daarvoor brengt PHP zelf geen gewone update meer uit.
Twijfel je? Vraag het aan je webbouwer of hostingpartij.
Wat doe je nu?
- Gedeelde of beheerde hosting: meestal werkt je hostingpartij PHP zelf bij. Vraag na of de update erop staat.
- Eigen server of VPS: laat PHP vandaag bijwerken door wie je server beheert.
- PHP 8.1 of ouder: maak een back-up en laat je site overzetten naar een ondersteunde versie. CERT-EU raadt aan te overwegen je site af te schermen tot de update erop staat; WordPress.org raadt bij PHP ouder dan 8.2 op eigen hosting aan te overwegen je server tijdelijk offline te halen.
- Let op nepmails: krijg je een mail "van je hosting" die vraagt om in te loggen of je wachtwoord door te geven? Klik niet, en ga via je eigen bladwijzer naar je klantenzone.
De gratis check van PHPGuard
Onze gratis scan toont of je zichtbare PHP-versie gepatcht is. Is ze verborgen, dan vraag je het aan je hosting.
- Toont je server zijn PHP-versie (bijvoorbeeld in een header)? Dan zegt de scan of die versie op of boven 8.2.35, 8.3.36, 8.4.27 of 8.5.12 zit.
- Verbergt je server zijn PHP-versie? Dat doen veel servers, en dat is op zich een goede gewoonte. Dan kan de scan er niets over zeggen. Vraag het aan je hosting of webbouwer.
- Het resultaat is een indicatie, geen eindoordeel. Linux-distributies zoals Debian, Ubuntu en Red Hat, en sommige hostingpartijen, verwerken beveiligingsfixes zonder het versienummer aan te passen. Een versie die oud lijkt, kan dus toch gepatcht zijn. Twijfel? Check bij je hosting.
Wat de scan kan tonen
- Mogelijk niet gepatchtCheck je PHP-versie bij je hosting
Check bij je hosting of de PHP-beveiligingsupdate van 21 oktober erop staat.
- Verouderde PHP-reeksPHP-reeks zonder gewone updates
Vraag je hosting of webbouwer om je site over te zetten naar een ondersteunde PHP-versie.
- PHP-versie niet zichtbaarPHP-versie onbekend
Vraag je hosting of je op een gepatchte PHP-versie zit.
Daarnaast doet de scan een algemene, passieve controle: verouderde WordPress en plugins, open gevoelige bestanden (zoals back-ups of een phpinfo-pagina), PHP- en serverinstellingen, https en beveiligingsheaders. Geen plugin, geen toegang tot je hosting, geen aanvallen. Je krijgt een risicoscore van 0 tot 100 en ziet in welke categorieën het misloopt.
Scan alleen je eigen site, of een site waarvoor je toestemming hebt.