PHP-kwetsbaarheid: draait jouw website of webshop op PHP, en wat moet je nu doen?

Bijgewerkt: woensdag 21 oktober 2026, 20:10 uur. De beveiligingsupdate is uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 dichten beide lekken. Het NCSC adviseert de updates met spoed te installeren.

Woensdagochtend, 21 oktober 2026. Wie MijnOverheid opent om een bericht te lezen, krijgt een foutmelding. Ook de website van het Nationaal Cyber Security Centrum is onbereikbaar. Op de plek van de homepage staat één korte mededeling: het NCSC heeft "vanwege de kwetsbaarheden in PHP" zijn website uit voorzorg tijdelijk offline gehaald.

PHP. Voor de meeste ondernemers is dat een woord dat ze ooit in een offerte van hun webbouwer zagen staan. Toch draait een groot deel van alle websites erop. WordPress, WooCommerce, Joomla, Drupal, Magento en veel maatwerk zijn allemaal in PHP geschreven.

De vraag die je jezelf vandaag dus moet stellen is eenvoudig. Draait mijn website of webshop op PHP, en zo ja, wat moet ik nu doen? Hieronder lees je wat de PHP-kwetsbaarheid voor jouw site betekent, hoe je dat uitzoekt, welke stappen je zet en welke vragen je letterlijk naar je hostingpartij of webbouwer kunt sturen.

Wat is de PHP-kwetsbaarheid, en waarom gingen MijnOverheid en andere sites offline?

Kort antwoord: PHP, de programmeertaal achter onder meer WordPress en WooCommerce, had twee ernstige beveiligingslekken. Ze scoren allebei 9,2 op een schaal van 10 en kunnen een aanvaller zonder inloggen code op je server laten uitvoeren. Op 21 oktober kwam de update uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Omdat de update overdag nog niet beschikbaar was, haalden sommige organisaties hun site uit voorzorg offline.

Op dinsdagavond 20 oktober kondigde het PHP-team een kritieke beveiligingsrelease aan. Woensdag 21 oktober volgde de security advisory met de oplossing. Volgens PHP lopen alle PHP-installaties die webverzoeken verwerken risico, of dat nu via PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP of LiteSpeed gaat. Het risico is volgens PHP het grootst bij mod_php.

De lekken hebben de nummers CVE-2026-109618 en CVE-2026-109619, met de technische details in de GitHub-advisories GHSA-w8hw-w9fx-j79w en GHSA-6wmf-4rv5-p3rp. Het NCSC publiceerde advisory NCSC-2026-0443 en schaalt zowel de kans als de schade in als hoog. Sommige partijen, zoals Security.nl en hoster Vimexx, gebruiken de bijnaam PHP2Shell. Dat is geen officiële naam.

Let op een veelvoorkomende verwarring. Zoek je op "PHP2Shell WordPress", dan vind je ook berichten over oudere lekken in WordPress-plugins. Deze PHP-kwetsbaarheid zit niet in WordPress, maar in PHP zelf. Daarom kan hij ook Joomla, Drupal, Magento en maatwerk raken.

Waarom websites uit voorzorg offline gaan

Een ernstig lek, aangekondigd maar nog niet gedicht, is een ongemakkelijke situatie. Zo zag woensdag er tot de middag uit. Volgens CERT-EU en beveiligingsonderzoekers circuleerden er al details voordat de geplande bekendmaking plaatsvond. Wie niets wil riskeren, haalt dan zijn site tijdelijk uit de lucht.

Dat deden behalve het NCSC ook het Digital Trust Center en, volgens het RD en ANP, Logius met MijnOverheid en leverancier NotuBiz, waarvan ruim honderd lagere overheden gebruikmaken voor hun raadsinformatie. Volgens de NOS gingen ook onder meer de Autoriteit Persoonsgegevens, de Tweede Kamer, RTL Nieuws en Tweakers offline.

Hoe groot is het misbruik? Overdag zei het NCSC volgens de NOS nog geen misbruik te hebben gezien. Cloudflare zei volgens de NOS de eerste pogingen te zien. Het PHP-team schrijft dat er voor mod_php een werkende aanval is gedemonstreerd. Bevestigd misbruik in de praktijk staat op het moment van schrijven (21 oktober, 20:10 uur) niet in het NCSC-advisory, en de lekken staan niet in de CISA-lijst van actief misbruikte kwetsbaarheden. Nu de details openbaar zijn, is snel updaten des te belangrijker.

Draait mijn website of webshop op PHP?

Kort antwoord: Gebruik je WordPress, WooCommerce, Joomla, Drupal of Magento, dan draait je site op PHP. Bij Shopify en volledig statische websites beheer je geen PHP-server. Twijfel je, kijk dan in je hostingpaneel of vraag het je webbouwer. Bij gedeelde hosting beheert je hostingpartij de PHP-versie.

PHP is de meest gebruikte servertaal voor websites. Volgens W3Techs draait 69,3 procent van alle websites waarvan de servertaal bekend is op PHP. Grote kans dus dat het ook bij jou in het spel is.

WordPress en WooCommerce

WordPress is in PHP geschreven, en WooCommerce is een plugin voor WordPress. Heb je een WordPress-website of een WooCommerce-webshop, dan draait die op PHP. Dat geldt ook voor Joomla, Drupal, Magento en de meeste maatwerksites die een webbouwer op een gewone hostingserver heeft gezet.

Shopify, Wix en andere gehoste platforms

Bij een gehost platform beheer je zelf geen server. Shopify draait bovendien niet op PHP maar op Ruby on Rails. Je Shopify-winkel zelf heb je dus niet in eigen beheer als het om PHP gaat. Let wel op apps en koppelingen van andere partijen. Een voorraadkoppeling of feed-app die op een eigen PHP-server draait, kan wel geraakt zijn. Vraag dat na bij de leverancier.

Voor andere gehoste platforms geldt hetzelfde principe: de techniek onder de motorkap is de verantwoordelijkheid van het platform. Twijfel je over je eigen platform of je koppelingen, dan helpt onze vergelijking van Shopify en WooCommerce om het verschil in beheer te zien.

En de volledig statische website, zoals veel moderne sites die als losse bestanden worden uitgeserveerd? Daar draait geen PHP, dus dit lek raakt die site niet. Maar kijk verder dan de homepage. Een contactformulier met een los mailscript, of een WordPress-blog op een subdomein, kan wél PHP zijn.

Zo controleer je je PHP-versie

Werk je met WordPress, dan vind je het in een paar klikken. Ga in het dashboard naar Gereedschap, dan Sitestatus, tabblad Info en open het onderdeel Server. Daar staat de PHP-versie. WordPress legt het scherm hier uit.

Geen WordPress? Kijk in het controlepaneel van je hostingpartij, vaak onder een kopje als PHP-instellingen. Kom je er niet uit, stuur dan een mail aan je hoster of webbouwer.

Die versie is om twee redenen belangrijk. Ten eerste zie je zo of de update al binnen is: veilig zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35 of hoger. Ten tweede ondersteunt PHP officieel alleen versie 8.2, 8.3, 8.4 en 8.5 met beveiligingsupdates. Versie 8.1 en ouder krijgen geen reguliere updates meer van PHP. En volgens W3Techs draait ruim een derde van alle PHP-sites nog op versie 7 of 5. Zit jouw site daarbij, dan is een update naar een ondersteunde versie de enige echte oplossing, ook los van dit lek.

Wat moet je nu doen als je website op PHP draait?

Kort antwoord: Vraag je hoster of webbouwer of je site al draait op PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (of hoger), check zelf je PHP-versie, zorg voor een recente back-up en laat logbestanden bewaren. Bij managed of gedeelde hosting doet je hoster de PHP-update. Bij een eigen server of VPS ben jij of je beheerder aan zet.

Paniek is niet nodig. Stilzitten ook niet. Dit is de volgorde:

1. 1Stel vast wie de PHP-update doet. Bij gedeelde of managed hosting is dat je hostingpartij. Heb je een eigen server of VPS zonder beheer, dan ben jij of je beheerder verantwoordelijk. Hoster Vimexx schrijft dat ook letterlijk: bij een unmanaged server ben je zelf verantwoordelijk.
2. 2Kijk op de statuspagina van je hoster. Veel hosters communiceerden woensdag actief. Om 13:15 uur meldde Hostnet gepland onderhoud van 16:00 tot 23:00 uur, met de boodschap "Je hoeft zelf niets te doen". Antagonist meldde dat het sinds 10:57 uur een preventieve wijziging op al zijn servers had doorgevoerd en zou bijwerken zodra de patch uit was. Vimexx gaf aan alle servers te updaten zodra de patch beschikbaar was. Kijk of jouw hoster inmiddels meldt dat de update is uitgevoerd.
3. 3Check je PHP-versie. Staat er 8.5.12, 8.4.27, 8.3.36, 8.2.35 of hoger, dan is de update binnen. Staat er een lager nummer binnen dezelfde reeks, dan moet de update nog gebeuren. Draai je op 8.1 of ouder, plan dan meteen een upgrade naar een ondersteunde versie. Vimexx adviseert klanten op 8.1 of lager hetzelfde. Een upgrade kan oude plugins of thema's laten haperen, dus laat dat bij voorkeur je webbouwer doen.
4. 4Zorg voor een recente back-up. Een back-up van vóór de update geeft je een terugvalpunt als er iets misgaat. Bewaar hem buiten de hostingomgeving.
5. 5Laat logbestanden bewaren. Mocht later blijken dat er toch iemand binnen is geweest, dan zijn de logbestanden van deze dagen je belangrijkste bewijs. Vraag je hoster of die bewaard blijven.
6. 6Volg de officiële bronnen. Kijk op php.net en in het NCSC-advisory. Het Britse NCSC adviseert in zijn bericht om eerst te inventariseren welke systemen PHP gebruiken, met de via internet bereikbare voorop, en direct bij te werken.

Heb je zelf een server in beheer? Gebruik je een Linux-distributie, dan haal je de update via de pakketten van je distributie of LTS-leverancier; die kregen de patches volgens PHP vooraf. Kun je niet direct bijwerken, dan noemt PHP in de security advisory tijdelijke maatregelen die het risico verkleinen, maar volgens PHP maken die een installatie niet veilig. Alleen updaten lost het op. CERT-EU adviseert in advisory 2026-018 om internetgerichte PHP-toepassingen af te schermen als patchen niet lukt. Het Britse NCSC noemt in het uiterste geval het tijdelijk offline halen van het systeem.

Is updaten genoeg, of kan er al ingebroken zijn?

Kort antwoord: Updaten voorkomt nieuw misbruik via deze PHP-kwetsbaarheid. Het zegt niets over wat er eventueel al vóór de update gebeurde. Officieel was er op het moment van schrijven geen misbruik in de praktijk bevestigd, maar laat je hoster of webbouwer na de update controleren of er niets vreemds is gebeurd.

Bij eerdere grote lekken bleek een update niet altijd het einde van het verhaal. Bij het Citrix-lek in NetScaler zagen we dat systemen netjes waren bijgewerkt terwijl er al iemand binnen was. Of dat bij deze PHP-kwetsbaarheid ook zo uitpakt, is nu nog niet te zeggen.

Wat je wel kunt doen: let de komende weken op signalen. Nieuwe beheerdersaccounts die je niet kent. Bestanden die ineens zijn gewijzigd. Een site die doorverwijst naar vreemde pagina's, of een hoster die meldt dat er spam vanaf je account wordt verstuurd. Zie je zoiets, schakel dan direct je webbouwer of hoster in. In ons overzicht van de grootste Nederlandse hacks van 2026 lees je hoe vaak een inbraak pas later aan het licht komt.

Welke vragen stel je aan je hostingpartij of webbouwer?

Kort antwoord: Vraag of de PHP-update al is geïnstalleerd en wanneer, welke PHP-versie je site nu gebruikt, of er een back-up en logbestanden zijn, en of koppelingen en losse scripts ook zijn meegenomen. Hieronder staat een lijst die je zo kunt kopiëren.

Je hoeft zelf geen server te kunnen beheren. Je moet wel de goede vragen stellen en de antwoorden zwart op wit krijgen. Kopieer dit gerust in een mail:

• Draait mijn website of webshop op PHP? En zo ja, op welke versie precies?
• Is mijn site al bijgewerkt naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (of hoger)? Wie heeft dat gedaan, en op welke datum en tijd?
• Draai ik nog op PHP 8.1 of ouder? Zo ja, wanneer kunnen we naar een ondersteunde versie, en wat kost dat?
• Is er een recente back-up van mijn site? En staat die buiten de server?
• Worden de logbestanden van deze periode bewaard? En hoe lang?
• Draaien er bij mij nog andere PHP-onderdelen? Denk aan een formulierscript, een koppeling of een blog op een subdomein. Zijn die ook bijgewerkt?
• Controleren jullie na de update of er sporen zijn van misbruik? Wat was de uitkomst?

Krijg je een vaag antwoord? Vraag door. Een goede hoster of webbouwer vindt deze vragen niet lastig.

Veelgestelde vragen over het PHP-lek

Moet ik mijn website nu offline halen?

Voor de meeste MKB-websites op gedeelde of managed hosting is dat niet nodig. Je hoster installeert de update; controleer wel dat dat gebeurd is. Organisaties met gevoelige gegevens of een eigen server kunnen tijdelijk offline gaan overwegen. Het Britse NCSC noemt dat als laatste redmiddel als bijwerken niet lukt.

Is mijn Shopify-winkel kwetsbaar voor de PHP-kwetsbaarheid?

Shopify draait niet op PHP, en je beheert bij Shopify geen eigen server. De winkel zelf hoef je dus niet bij te werken. Apps of koppelingen van andere leveranciers kunnen wel op PHP draaien. Vraag die leveranciers of ze bijgewerkt hebben.

Welke PHP-versie is veilig?

Volgens de security advisory van PHP zijn dat per ondersteunde reeks:

• PHP 8.5: versie 8.5.12 of hoger
• PHP 8.4: versie 8.4.27 of hoger
• PHP 8.3: versie 8.3.36 of hoger
• PHP 8.2: versie 8.2.35 of hoger

PHP 8.1 en ouder krijgen geen updates meer van het PHP-project. Vanwege de ernst heeft het PHP-team wel minimale broncodepatches voor 7.4, 8.0 en 8.1 gepubliceerd, en sommige Linux-distributies en LTS-leveranciers bieden eigen oplossingen. Voor een gewone website is dat geen structurele oplossing: de enige echte stap is een upgrade naar een ondersteunde versie. Gebruik je een Linux-distributie, kijk dan naar de bijgewerkte pakketten van je leverancier; die gebruiken soms eigen versienummers.

Moet ik een datalek melden?

Alleen als er echt persoonsgegevens zijn ingezien, gestolen of verloren gegaan. Dan meld je het datalek op grond van artikel 33 van de AVG binnen 72 uur bij de Autoriteit Persoonsgegevens. Je site uit voorzorg offline halen is geen datalek. Daarnaast is sinds 15 augustus 2026 de Cyberbeveiligingswet van kracht, met een eigen meldplicht. Die geldt voor ruim 8000 organisaties in 18 sectoren: middelgrote en grote organisaties in specifieke sectoren en overheden. Klein MKB buiten die sectoren valt er meestal niet onder. Twijfel je, doe dan de zelfevaluatie van de NCTV.

Hoe snel moet ik PHP updaten?

Nu. De update voor de PHP-kwetsbaarheid is sinds 21 oktober beschikbaar, en het PHP-team en het NCSC adviseren allebei om met spoed bij te werken. Bij gedeelde hosting gebeurt dat meestal centraal, zoals Hostnet voor de avond van 21 oktober had gepland. Vraag je hoster wanneer het bij jou is gebeurd.

Eén mail, vandaag nog

Het goede nieuws is dat de meeste ondernemers deze PHP-kwetsbaarheid niet zelf hoeven te repareren. Je hostingpartij of webbouwer doet het technische werk. Jouw taak is kleiner, maar niet onbelangrijk: weten waar je site draait, wie verantwoordelijk is, en zeker weten dat het ook echt gebeurt.

Stuur de vragen hierboven dus vandaag nog door. Het kost je tien minuten.

Wil je dat iemand met je meekijkt?

Weet je niet waar je website draait, of krijg je van je hoster geen helder antwoord? Bij YX Digital regelen we hosting en support voor websites en webshops van MKB-bedrijven, met onderhoud, monitoring en dagelijkse back-ups.

Plan een vrijblijvend gesprek met YX Digital en we kijken samen waar je staat. Geen bangmakerij, gewoon helderheid over wat er moet gebeuren.