Groot lek in PHP: wat betekent het voor jouw website?
Robin van der Ploeg ·
Deze week lekten details uit over twee ernstige beveiligingslekken in PHP, de programmeertaal waar een groot deel van alle websites op draait. Wat is er precies aan de hand, loopt jouw website risico, en wat moet je nu doen?
Wat is er aan de hand?
PHP is de taal die op de server draait achter onder meer WordPress, Joomla, Drupal, Magento en WooCommerce. In PHP zelf zijn twee lekken gevonden (bekend als php2shell, CVE-2026-109618 en CVE-2026-109619). Daarmee kan een aanvaller van buitenaf zijn eigen code op je server laten uitvoeren. Zonder wachtwoord, en zonder dat je er iets van merkt.
Wie dat lukt, heeft in feite de sleutels van je website. Hij kan je site aanpassen, er virussen of nepwinkels op zetten, of klantgegevens meenemen. PHP zelf geeft de lekken een 9,2 op een schaal van 10.
Omdat het lek in PHP zit en niet in een plugin of thema, maakt het niet uit hoe netjes je site verder is bijgehouden. Draait hij op een kwetsbare PHP-versie, dan loopt hij risico.
De tijdlijn
Dinsdag 20 oktober: iemand zet anoniem details over de lekken online, twee dagen voordat ze officieel bekend zouden worden. Beveiligingsonderzoekers bevestigen dezelfde dag dat het lek echt is. PHP kondigt een spoedupdate aan voor woensdag 21 oktober, 16:00 Nederlandse tijd.
Woensdagochtend 21 oktober: Cloudflare en meerdere hostingbedrijven melden de eerste aanvallen. Volgens beveiligingsbedrijf Sansec gaan onder meer Tweakers, de Tweede Kamer en het NCSC tijdelijk offline. Een PHP-ontwikkelaar laat weten dat updaten de enige echte oplossing is.
Woensdag 21 oktober, 16:00: PHP brengt de update uit voor de versies die nog ondersteund worden (8.2 tot en met 8.5). Beveiligingsbedrijven verwachten dat aanvallers direct daarna op grote schaal gaan zoeken naar sites die nog niet bijgewerkt zijn.
Loopt mijn website risico?
Draait je website op WordPress of een ander PHP-systeem? Dan is het antwoord waarschijnlijk ja, tot de update is geïnstalleerd. Bij de meeste hostingpakketten gebeurt dat niet vanzelf.
Extra zorgelijk zijn oudere sites. PHP 8.1 en ouder krijgen geen update meer, en volgens onderzoekers draaien honderdduizenden websites nog op zo'n versie. Die blijven kwetsbaar tot ze overstappen op een nieuwere PHP-versie. En dat lukt niet altijd zomaar: oude plugins en thema's werken vaak niet met een nieuwe PHP-versie.
Weet je niet welke PHP-versie je site gebruikt? Dan is dat precies het probleem. Bij veel bedrijven is de website ooit gebouwd en daarna nooit meer echt bekeken.
Wat moet je nu doen?
Vraag je hostingbedrijf of webbouwer vandaag nog op welke PHP-versie je site draait en of de update van 21 oktober al is geïnstalleerd. Zit je op PHP 8.1 of ouder, dan is overstappen naar een ondersteunde versie de enige oplossing. Is je site de afgelopen dagen al aangevallen, dan is alleen updaten niet genoeg.
Dat lost dit lek op. Maar het volgende komt er net zo zeker aan: PHP, WordPress en elke plugin moeten steeds weer bijgewerkt worden, en elke update kan iets anders laten breken.
Of: een nieuwe website, zonder PHP
Ik werk niet met PHP of WordPress. Ik bouw websites in Next.js, op Node.js: dezelfde techniek waar grote webwinkels en platforms op draaien. Geen plugins van derden, geen beheeromgeving die open staat voor de hele wereld, en een site die snel is.
Geen enkele techniek is voor altijd lekvrij, ook deze niet. Het verschil zit in wie het bijhoudt. Bij een website op abonnement doe ik dat: updates, beveiliging, back-ups en hosting zitten in het maandbedrag. Komt er een lek in het nieuws, dan hoef jij niets te doen.
Draait je huidige site op een oude PHP-versie, dan is een nieuwe website vaak niet eens duurder dan de oude oplappen. Je teksten en domein gaan gewoon mee.