Het PHP-lek van oktober 2026. Wat klopt er wel en niet?

Stand van zaken op 23 oktober 2026.

Schrok jij ook van de koppen deze week? “Kritiek lek raakt 70 procent van alle websites.” DigiD offline. MijnOverheid even niet bereikbaar.

Als je een website hebt, wil je maar één ding weten. Moet ik me zorgen maken?

Het eerlijke antwoord is ja, je moet iets doen. Maar paniek is niet nodig. Er gaat veel onzin rond over dit lek. Hieronder lees je wat er echt aan de hand is, welke verhalen niet kloppen en wat je vandaag nog kunt doen.

Wat is er aan de hand?

Op 21 oktober 2026 bracht het PHP-team spoedupdates uit voor twee ernstige fouten in PHP. PHP is de programmeertaal waar onder andere WordPress, WooCommerce, Joomla, Drupal en Magento op draaien.

De twee fouten hebben de codes CVE-2026-109618 en CVE-2026-109619. Samen hebben ze de naam PHP2Shell gekregen.

Via deze fouten kan een aanvaller zonder in te loggen code laten uitvoeren op je server. In het ergste geval neemt iemand dan je website over of krijgt iemand toegang tot klantgegevens.

Onderzoekers van Wiz vonden de fouten in augustus. Ze meldden het netjes aan het PHP-team en er werd samen aan een oplossing gewerkt. Alleen lekte de informatie uit voordat alles klaar was. Daarom ging het ineens zo snel en haalden sommige organisaties hun sites uit voorzorg offline.

Mythe 1. “Er is een lek, dus mijn site is gehackt”

Nee. Een kwetsbaarheid is een open deur, geen inbraak.

Sebastiaan Kors van beveiligingsbedrijf Pinewood zei het zo tegen Computable. “Een kwetsbaarheid is echter nog geen succesvolle hack.”

Of je echt risico liep hangt af van je PHP-versie, de instellingen van je server en hoe snel je hostingpartij de update heeft geïnstalleerd.

Mythe 2. “Het is een WordPress-lek, dus ik update mijn plugins”

Dat is het niet. De fout zit in PHP zelf, de laag onder WordPress. Volgens de onderzoekers is zelfs een simpele “Hello World”-pagina op een kwetsbare PHP-versie al te misbruiken.

Je plugins updaten is altijd verstandig. Maar dat lost dit lek niet op. De PHP-versie op je server moet worden bijgewerkt. Bij de meeste websites doet je hostingpartij dat.

Wel klopt het dat WordPress-sites geraakt worden. De onderzoekers lieten zien dat ze WordPress, Drupal en Joomla zonder inlog konden overnemen.

Mythe 3. “70 procent van alle websites is kwetsbaar”

Dat getal wordt overal herhaald, maar het betekent iets anders. Ongeveer 70 procent van de websites draait op PHP. Dat is niet hetzelfde als 70 procent kwetsbaar of gehackt.

Beveiligingsonderzoeker Silas Cutler schat het aantal kwetsbare servers dat vanaf internet bereikbaar is op ruim 1,3 miljoen. Veel daarvan zijn inmiddels bijgewerkt of zitten achter een extra beveiligingslaag.

Het probleem is groot. Maar het is niet zo dat het halve internet openligt.

Mythe 4. “Het lek heeft de hoogste score, een 10 uit 10”

In de eerste berichten stond een score van 10.0. Volgens de PHP Foundation klopte dat niet. De officiële score is 9,2 op 10.

Dat is nog steeds kritiek. Maar het laat zien dat je de eerste berichten met een korrel zout moet nemen.

Mythe 5. “Mijn site draait op een oude PHP-versie, dus daar zit dit niet in”

Juist andersom. De fout zit al in PHP vanaf versie 5.4. Dat is meer dan tien jaar oud.

Het verschil is dat nieuwe versies een officiële update krijgen en oude niet. De officiële versies met de fix zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.

Draait jouw site op PHP 8.1 of ouder? Dan krijg je geen officiële update van het PHP-team. Sommige hostingpartijen bouwen zelf een oplossing in, maar daar moet je niet op gokken. Een upgrade naar een ondersteunde versie is dan de enige echte oplossing.

Let op. PHP 8.2 krijgt na 31 december 2026 ook geen updates meer.

Mythe 6. “Mijn versienummer is niet veranderd, dus ik ben nog kwetsbaar”

Niet per se. Veel hostingpartijen bouwen de fix in de PHP-versie die je al gebruikt. Het versienummer blijft dan hetzelfde.

Hostinger meldt bijvoorbeeld dat sommige sites nog 8.5.11 laten zien in plaats van 8.5.12, terwijl de fix er wel in zit.

Andersom geldt het ook. Een versienummer alleen bewijst niets. Kijk naar de bouwdatum. Is die 21 oktober 2026 of later? Dan zit de update erin.

Mythe 7. “Een beveiligingsplugin of firewall lost het op”

Een firewall zoals die van Cloudflare helpt. Cloudflare heeft regels toegevoegd tegen de bekende aanvallen, ook voor gratis accounts. Maar Cloudflare noemt het zelf een noodoplossing. Het werkt alleen voor verkeer dat via Cloudflare loopt en alleen tegen aanvallen die al bekend zijn.

Hetzelfde geldt voor aanpassingen in de PHP-instellingen. Het PHP-team zegt het letterlijk. Die maatregelen maken een installatie niet veilig. Alleen updaten is een volledige oplossing.

Foutmeldingen verbergen helpt ook niet. Ook dat staat expliciet in het advies van PHP.

Mythe 8. “Er wordt nog geen misbruik van gemaakt”

Hier spreken de bronnen elkaar tegen. Dat zeggen we liever eerlijk.

Op 21 oktober meldden het NCSC en de Rijksoverheid nog geen signalen van actief misbruik. Amazon zag echter al op 17 oktober een aanvalspoging, vier dagen voordat het lek openbaar werd. Inmiddels spreken Amazon en Cloudflare van aanvallen op grote schaal.

Ga er dus vanuit dat er actief naar kwetsbare sites gezocht wordt. Amazon raadt aan om vanaf 17 oktober in je logs te kijken.

Mythe 9. “DigiD was offline, dus het is overal mis”

Overheidssites als Overheid.nl, MijnOverheid.nl en DigiD gingen uit voorzorg offline. Niet omdat ze gehackt waren. Rijksoverheid.nl zelf gebruikt geen PHP en had er niets mee te maken.

Offline gaan was een risicoafweging tot de update er was. Dat is verstandig, geen teken van een ramp.

Wat moet je nu doen?

Je hoeft geen developer te zijn. Dit kun je vandaag doen.

1. Check je PHP-versie én de bouwdatum. In WordPress ga je naar Hulpmiddelen, dan Sitegezondheid, dan Info en dan Server. Daar zie je de PHP-versie. De bouwdatum vind je meestal in het controlepaneel van je host, onder PHP Info. Zit je bij Hostinger? Ga in hPanel naar Websites, dan Dashboard en open PHP Info in het menu links. Staat de Build Date op 21 oktober 2026 of later, dan zit je goed.

2. Vraag je hostingpartij of de update erop staat. Vraag het concreet. “Draait mijn site op een PHP-versie met de fix voor CVE-2026-109618 en CVE-2026-109619?” Een goede host weet dat direct. Hostinger meldt dat de updates op al hun gedeelde, Agency- en cPanel-servers klaar zijn en dat klanten daar niets hoeven te doen. Heb je een VPS? Dan beheer je PHP zelf en moet je de update zelf installeren.

3. Zit je op PHP 8.1 of ouder? Upgrade. Test eerst of je thema en plugins werken op een nieuwere versie. Bij de meeste moderne WordPress-sites gaat dat zonder problemen.

4. Let op vreemde signalen. Denk aan foutmeldingen (fout 500) die je niet kunt verklaren, beheerders die je niet kent of een site die opeens traag is. Twijfel je? Laat je logs nakijken.

5. Download geen testscripts van internet. Er gaat code rond die zou laten zien of je kwetsbaar bent. Die is niet gecontroleerd en kan zelf malware bevatten.

Het grotere verhaal

Dit lek maakt één ding duidelijk. Een website is geen folder die je één keer laat drukken. Er draait software onder die onderhoud nodig heeft.

De sites die deze week rustig bleven, waren niet de sites met de meeste plugins. Het waren de sites waar iemand de PHP-versie bijhield, updates direct installeerde en wist wie er gebeld moest worden. Dat is precies wat goed websiteonderhoud voor je doet.

Bronnen

• PHP.net, officiële aankondiging van de updates
• Wiz Research, ontdekking en tijdlijn
• Tenable, veelgestelde vragen over PHP2Shell
• Help Net Security
• Rijksoverheid, websites preventief offline
• Veiliginternetten.nl (NCSC)
• Computable
• Hostinger, PHP2Shell-gids voor VPS-klanten

Veelgestelde vragen

Twijfel je of jouw site goed zit?

Stuur ons je URL. We kijken welke PHP-versie je site gebruikt, of de update erop staat en wat er verder nodig is.

Laat je site checken