kort antwoord
PHP brengt op 21 oktober om 16:00 uur een spoedupdate uit voor twee kritieke lekken (php2shell). Je kunt het niet in WordPress oplossen: vraag je hostingpartij vandaag om de update direct na release te installeren.
Op 20 oktober 2026 kondigde het PHP-beveiligingsteam een spoedrelease aan voor twee kritieke lekken. Dezelfde dag lekten details uit, onder de naam php2shell. De update staat gepland voor woensdag 21 oktober om 14:00 UTC, 16:00 uur Nederlandse tijd. Draait je WordPress-site of webshop op PHP, en dat is vrijwel altijd zo, dan is dit een update die je niet een week laat liggen.
Wat is er aan de hand?
PHP is de programmeertaal waarop WordPress, WooCommerce en veel andere webshopsystemen draaien. Het is geen plug-in die je zelf bijwerkt, maar software op de server van je hostingpartij.
Dit staat vast:
- PHP meldt op php.net dat het gaat om twee kritieke kwetsbaarheden, beide met een CVSS v4.0-score van 9.2. CVSS is de standaardschaal voor de ernst van een lek, van 0 tot 10.
- De lekken staan bekend als CVE-2026-109618 en CVE-2026-109619. Volgens Sansec en SecurityWeek gaat het om remote code execution: een aanvaller kan dan op afstand eigen code op je server uitvoeren.
- Volgens SecurityWeek leidt CERT-EU uit de score af dat misbruik mogelijk is zonder in te loggen.
- Details zijn op 20 oktober online gekomen, vóór de geplande gecoördineerde bekendmaking. Securitybedrijf watchTowr zegt CVE-2026-109618 te hebben nagebootst, maar deelt nog geen technische details.
PHP schrijft zelf: “All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available.” Het team houdt zich ook het recht voor om eerder uit te brengen als details publiek worden of als er misbruik opduikt.
Wie loopt er risico?
Kort gezegd: bijna iedereen met een site op PHP. Welke versies precies geraakt zijn, maakt PHP pas bekend bij de release. Tot die tijd lopen de berichten uiteen. Sansec schrijft dat de lekken “all web servers running PHP 5.4 or later” raken. SecurityWeek citeert publieke berichten dat “all PHP versions from PHP 5 onwards” kwetsbaar zijn. Ga er dus vanuit dat jouw versie erbij hoort, wat je ook draait.
Sansec noemt met name WooCommerce-, Magento- en Shopware-webshops. Voor WordPress-sites geldt hetzelfde, omdat het lek in PHP zelf zit en niet in de software die erop draait.
Volgens watchTowr en Huntress, aangehaald door SecurityWeek, is er nog geen misbruik in het wild gezien. Sansec verwacht wel massale aanvallen binnen 15 minuten nadat de patch uit is. Dat is een verwachting, geen feit, maar wel een reden om op tijd te zijn.
Welke versies zijn straks veilig?
Dat is op het moment van schrijven nog niet bekend. PHP schrijft: “Full details, affected versions, and the fixed versions will be published with the release.” Kijk daarom na 16:00 uur op php.net welke versienummers de fix bevatten.
Wel duidelijk is dit: PHP ondersteunt alleen nog versie 8.2 en nieuwer. Volgens Sansec krijgen servers met PHP 8.1 of ouder geen officiële fix. De laatste reguliere beveiligingsrelease, op 24 september 2026, bestond ook alleen uit PHP 8.2.34, 8.3.35, 8.4.26 en 8.5.11.
| Jouw PHP-versie | Wat verwacht je? |
|---|---|
| 8.2, 8.3, 8.4 of 8.5 | Een officiële update van PHP. Je host moet die installeren. |
| 8.1 of ouder | Geen officiële fix. Overstappen naar een ondersteunde versie, of je host moet de fix zelf terugzetten in de oude versie. |
Draai je nog op PHP 8.1, dan stond die overstap al op de planning. In ons artikel over WooCommerce 11.2 en PHP 8.1 lees je hoe je je PHP-versie controleert.
Wat kun je vandaag al doen?
Je kunt het lek niet vanuit WordPress of je webshop dichten. Sansec zegt het duidelijk: dit moet op serverniveau worden opgelost. Een beveiligingsplug-in helpt hier dus niet. Wat je wel kunt doen:
- Zoek uit welke PHP-versie je site draait. In WordPress vind je dat onder Gereedschap, Sitediagnose, tabblad Info, onderdeel Server. Je hostingpaneel laat het meestal ook zien.
- Zoek uit wie je server beheert. Bij gedeelde of beheerde hosting is dat je hostingpartij. Heb je een eigen VPS of server, dan ben je dat zelf, of je developer.
- Controleer of je back-ups werken. Kijk wanneer de laatste back-up is gemaakt en of die buiten de server staat. Gaat er onverhoopt iets mis, dan wil je kunnen terugzetten.
- Zet alles klaar om snel te updaten. Weet wie er vanmiddag bereikbaar is en wie na de update kort test of de site en het afrekenen nog werken.
- Werk de rest ook bij. WordPress, thema en plug-ins hebben hier niets mee te maken, maar een site die volledig bij is, herstelt makkelijker. Zie ook de recente WordPress-beveiligingsupdates.
Wat vraag je aan je hostingpartij?
Sansec adviseert om je hostingpartij nu al te vragen klaar te staan. Stuur vandaag een kort bericht met deze vragen:
- Installeren jullie de PHP-update van 21 oktober direct na release op de server van mijn site?
- Hoe laat verwachten jullie dat mijn site bijgewerkt is, en laten jullie het weten als dat klaar is?
- Op welke PHP-versie draait mijn site, en valt die onder de officiële fix?
- Als ik op PHP 8.1 of ouder zit: zetten jullie de fix terug in die versie, of zetten jullie mij over naar een ondersteunde versie? Wanneer?
- Herstarten jullie ook PHP zelf na de update, zodat de nieuwe versie echt actief is?
Krijg je geen helder antwoord, of blijkt je host traag met updates, dan is dat informatie die je voor de volgende keer wilt hebben. Bij ons valt dit onder onderhoud en hosting: we draaien de servers zelf en installeren zulke updates voor onze klanten.
Wat als je site toch geraakt wordt?
Lukt het niet om op tijd te updaten, of zie je na vandaag vreemde dingen op je site, zoals onbekende beheerders, nieuwe bestanden of doorverwijzingen naar andere sites, behandel de site dan als gehackt. Een aanvaller die code op de server kan uitvoeren, kan in principe overal bij: bestanden, de database met klantgegevens en wachtwoorden.
Volg dan de stappen uit ons artikel Website gehackt: wat doe je nu? Daar staat ook wanneer je een datalek moet melden.
Veelgestelde vragen
Nee, voor dit lek niet. Het zit in PHP op de server en de fix moet daar worden geïnstalleerd. Dat doet je hostingpartij, of degene die je server beheert.
Waarschijnlijk niet. Volgens watchTowr en Huntress was er bij het uitlekken nog geen misbruik gezien. Het risico zit vooral in de uren na de release, als aanvallers op zoek gaan naar servers die nog niet zijn bijgewerkt.
Niet genoeg. Sansec waarschuwt dat de aanval PHP raakt voordat je webshopcode of een plug-in in actie komt. De enige echte oplossing is de PHP-update op de server.
Volgens Sansec komt er voor PHP 8.1 en ouder geen officiële fix. Vraag je host vandaag of die de fix zelf terugzet of je overzet naar PHP 8.2 of nieuwer, en test je site na de overstap.
Die publiceert PHP pas bij de release op 21 oktober. Kijk na 16:00 uur op php.net welke versies de fix bevatten en vraag je host te bevestigen dat jouw server daarop draait.