PHP-lek (PHP2Shell): wat is er aan de hand en wat moet je nu doen?

Laatst bijgewerkt: . Feiten kunnen snel veranderen; de bronnen staan onderaan.

Twee kritieke lekken in PHP, de taal waar het grootste deel van de websites op draait, zijn deze week uitgelekt voordat er een update was. Hieronder lees je rustig en zonder paniek wat het betekent voor jouw website en wat je vandaag kunt doen.

Klanten van IT Live: wij installeren de PHP-update zodra die beschikbaar is en bewaken onze servers. Je hoeft zelf niets te doen; heb je een eigen aparte hosting of een zelfbeheerde site, lees dan de checklist hieronder.

Actie: veilig én beter vindbaar – PHP-lek check & fix + gratis SEO-audit voor €37,50 excl. btw

Eenmalig, per website. Actie t/m dinsdag 4 november 2026.

Het uitvoeren van het verbeterplan valt niet onder de actie; daarvoor krijg je desgewenst vooraf een vaste prijs.

Ja, check, fix en SEO-audit voor mijn website Alle voorwaarden en veelgestelde vragenNiet inbegrepen: herstel van een gehackte site, migratie naar nieuwe hosting en maatwerk; daarvoor krijg je vooraf een vaste prijs. Toegang nodig (WordPress-beheer of hostingaccount), werk na jouw akkoord, geen garantie dat een site nooit gehackt wordt.

Wat is er aan de hand?

Het gaat om de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619, samen bekend als PHP2Shell. Het PHP-beveiligingsteam geeft ze de hoogste ernst (CVSS 9,2 van 10). In gewone taal: een aanvaller kan op afstand eigen code laten draaien op een server met PHP, zonder in te loggen. Dat heet remote code execution.

Technische details en een aanvalstool lekten op 20 oktober uit, vóór de oplossing klaar was. PHP heeft daarom een noodrelease gepland op woensdag 21 oktober 2026 om 14:00 UTC (16:00 Nederlandse tijd), voor de nog ondersteunde takken 8.2 tot en met 8.5. Oudere versies (8.1 en lager) krijgen volgens de berichten geen officiële fix.

Eerlijk over het risico. De NCSC adviseert zo snel mogelijk te updaten en tot die tijd elk systeem met PHP dat aan internet hangt als mogelijk kwetsbaar te zien. Cloudflare meldde vroege aanvallen; andere bronnen zagen nog geen misbruik. Die berichten spreken elkaar tegen. Nemen we het zekere voor het onzekere: dit is serieus, maar je kunt er prima iets aan doen. Bij mensen die er snel mee aan de slag gaan, blijft het meestal bij een update en een controle.

Wie loopt risico?

SituatieRisicoWat nu
WordPress, WooCommerce, Joomla, Drupal, Magento, Shopware, Laravel of maatwerk in PHPHoog tot de server-PHP is bijgewerktHostingpartij vragen naar de update, daarna controleren
Beheerde hosting (je hoster beheert de server)Hoog, maar de hoster regelt de updateVraag wanneer en hoe de update is gedaan
Eigen server, VPS of zelfbeheerde hostingHoog en jij bent verantwoordelijkZelf updaten zodra de release er is, of laten doen
PHP 8.1 of ouderZeer hoog: geen officiële fixOverstappen naar PHP 8.2 of hoger, na een back-up
Website-bouwer of gehost platform zonder eigen PHP-serverLaag voor jou; de leverancier regelt hetNiets, tenzij je een eigen PHP-koppeling draait

Wat moet je nu doen? De checklist

  1. Controleer je PHP-versie. In WordPress: Hulpmiddelen, Sitegezondheid, tabblad Info, onderdeel Server. Noteer de versie.
  2. Vraag je hostingpartij wanneer de PHP-update wordt geïnstalleerd en welke tijdelijke maatregelen ze nemen.
  3. Installeer de update zodra die er is (vanaf 16:00 Nederlandse tijd). Herstart PHP (php-fpm) of laat je hoster dat doen; een update zonder herstart beschermt niet.
  4. Draai je PHP 8.1 of ouder? Plan nu de overstap naar een ondersteunde versie.
  5. Maak een verse back-up van bestanden en database, en bewaar die buiten je server.
  6. Werk CMS, thema's en plugins bij en haal plugins weg die je niet gebruikt.
  7. Bekijk je logs en bestanden op verdachte activiteit: nieuwe PHP-bestanden in uploadmappen, onbekende beheerders, vreemde verzoeken rond en na de release.
  8. Wijzig wachtwoorden en sleutels (beheer, database, API) als je ook maar iets verdachts ziet.

Tijdelijke maatregelen (technisch, geen garantie)

Volgens Sansec kun je tot de update multipart/form-data-verzoeken weigeren (dan werken uploads en veel formulieren niet), een webapplicatiefirewall inzetten, een onderhoudsmodus gebruiken, of in php.ini session.upload_progress.enabled=0 en session.use_strict_mode=1 zetten. Dit zijn noodgrepen en geen vervanging van de update. Laat dit door je hoster of webbouwer doen.

Hulp van IT Live

Snelste route: de actie hieronder: check & fix plus gratis SEO-audit met verbeterplan voor €37,50 excl. btw (t/m 4 november 2026). De uitgebreide PHP-beveiligingsaudit op aanvraag blijft bestaan voor grotere sites.

Actie: veilig én beter vindbaar – PHP-lek check & fix + gratis SEO-audit voor €37,50 excl. btw

Eenmalig, per website. Actie t/m dinsdag 4 november 2026.

Het uitvoeren van het verbeterplan valt niet onder de actie; daarvoor krijg je desgewenst vooraf een vaste prijs.

Ja, check, fix en SEO-audit voor mijn website Alle voorwaarden en veelgestelde vragenNiet inbegrepen: herstel van een gehackte site, migratie naar nieuwe hosting en maatwerk; daarvoor krijg je vooraf een vaste prijs. Toegang nodig (WordPress-beheer of hostingaccount), werk na jouw akkoord, geen garantie dat een site nooit gehackt wordt.
PHP-lek checkPHP-beveiligingsaudit
PrijsGratisOp aanvraag, daarna vaste prijs
WatWe kijken van buiten welke PHP-versie en welk CMS zichtbaar zijn en of er bekende risico's te zien zijn.Uitgebreider: versie en updates, plugins, back-ups, hardening, logcontrole op verdachte activiteit en een rapport met advies.
Voor wieIedere ondernemer met een websiteWebshops, sites met inlogs of klantgegevens, en alles waar een inbraak veel kost
Check, fix & gratis SEO-audit, €37,50 Vraag de gratis PHP-lek check aan Vraag een PHP-beveiligingsaudit aan Doe de gratis website-quickscan

Liever bellen? 085 060 4471. Meer lezen: wat IT Live doet en de checklist voor na het lek, en het nieuwsbericht over de actie.

Veelgestelde vragen

Is mijn website kwetsbaar?

Als je website op PHP draait, ja, tot de update is geïnstalleerd. Dat geldt voor WordPress, WooCommerce, Magento, Shopware, Joomla, Drupal, Laravel en veel maatwerksites. Gebruik je een gehost platform waar je zelf geen PHP-server voor hebt (zoals een website-bouwer), dan regelt de leverancier de update. Vraag het hen als je het niet zeker weet.

Hoe zie ik welke PHP-versie ik heb?

In WordPress: Hulpmiddelen, Sitegezondheid, tabblad Info, onderdeel Server. Daar staat de PHP-versie. Bij een andere site vraag je het je hostingpartij of webbouwer, of je laat het van buiten controleren met onze gratis check.

Moet ik mijn site nu offline halen?

Meestal niet. Sommige grote organisaties hebben hun site uit voorzorg offline gehaald, maar voor de meeste ondernemers is het belangrijker dat de update zo snel mogelijk wordt geïnstalleerd. Heb je een webshop of een site met inlogs en uploads, bespreek dan met je hostingpartij of een tijdelijke maatregel zinvol is.

Wanneer komt de update?

De PHP-beveiligingsrelease staat volgens php.net gepland op woensdag 21 oktober 2026 om 14:00 UTC (16:00 Nederlandse tijd). Hij is bedoeld voor de nog ondersteunde PHP-takken. Dit kan veranderen, dus kijk bij de bronnen onderaan.

Wat als mijn site op PHP 8.1 of ouder draait?

Volgens de berichten krijgen oudere versies geen officiële fix. Dan is overstappen op een ondersteunde versie (PHP 8.2 of hoger) de enige echte oplossing. Dat kan problemen geven met oude plugins of thema's, dus plan dit met je webbouwer en maak eerst een back-up.

Is er al misbruik gezien?

De berichten spreken elkaar tegen. Cloudflare meldde vroege aanvallen, andere bronnen zagen nog geen misbruik. We gaan er voorzichtigheidshalve van uit dat aanvallen snel na de release volgen.

Wat kost een PHP-lek check of audit?

De snelle PHP-lek check van buiten is gratis. Tot en met 4 november 2026 doen wij de check én het oplossen (tot 1 uur werk per website) voor €37,50 excl. btw, met een gratis SEO-audit en verbeterplan (10 punten) erbij. Voor grotere sites is er een uitgebreide PHP-beveiligingsaudit op aanvraag: we bekijken eerst je situatie en geven daarna een vaste prijs.

Is dit paniek of terecht?

Het is terecht serieus: de lekken hebben de hoogste ernst (CVSS 9,2) en kunnen op afstand code laten draaien. Maar het is geen reden voor paniek: de oplossing is een update, en met een goede back-up en snelle actie beperk je het risico sterk.

Bronnen

Deze pagina is een samenvatting en geen juridisch of technisch eindadvies. Laatst bijgewerkt: 21 oktober 2026, 14:30 uur.