Er is een kritiek PHP-lek openbaar gemaakt, de zorgen over misbruik verspreidden zich razendsnel en veel organisaties namen direct maatregelen. Voor ondernemers is dat verwarrend, want PHP draait ongemerkt op de achtergrond van talloze websites, webshops en WordPress-installaties.
Wat is het PHP-lek precies?
Het gaat om twee kritieke PHP-kwetsbaarheden die volgens de ontwikkelaars kunnen worden gebruikt om op afstand code uit te voeren zonder inloggen (unauthenticated remote code execution). Simpel gezegd: een aanvaller kan zonder geldig account schadelijke code draaien op een kwetsbare server. Dat maakt dit soort lekken extra ernstig.
Volgens de officiële beveiligingsmelding van PHP zijn op 21 oktober 2026 beveiligingsupdates uitgebracht voor PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De ontwikkelaars zijn hier ook duidelijk over: er is geen volledige tijdelijke oplossing, de enige echt veilige optie is updaten. Meer details lees je in de officiële beveiligingsmelding van PHP.
Waarom zorgde dit lek voor zoveel onrust?
De impact komt vooral doordat drie dingen tegelijk speelden. Ten eerste draait PHP op een heel groot deel van het web. Ten tweede kreeg het lek veel aandacht nog vóórdat er een officiële patch was. Ten derde was de mogelijke impact zo groot dat sommige organisaties geen risico wilden nemen en hun systemen tijdelijk extra beschermden of zelfs offline haalden.
Daardoor ontstond er online in korte tijd veel ruis. Er gingen tijdelijke oplossingen rond, losse adviezen en technische discussies. De kern bleef echter hetzelfde: draait je server op een kwetsbare PHP-versie, dan moet de patch zo snel mogelijk worden geïnstalleerd.
Welke websites lopen risico?
Volgens PHP gaat het om PHP-installaties die webverkeer verwerken, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Dus niet alleen op maat gemaakte applicaties, maar ook veelgebruikte systemen die op PHP draaien, zoals WordPress en WooCommerce, vallen eronder.
Het is belangrijk om te begrijpen dat het probleem niet in WordPress of in een plug-in zit, maar in de onderliggende PHP-laag. Een site kan er aan de voorkant dus volledig normaal uitzien terwijl de server op de achtergrond toch kwetsbaar is. Daarom is technisch onderhoud zo belangrijk.
Wat is er tot nu toe opgelost?
Het goede nieuws: PHP heeft beveiligingsupdates uitgebracht. Het gaat er nu dus niet meer om af te wachten, maar om op de juiste manier te patchen en te controleren. Een omgeving is niet veilig omdat er “iets is gedaan”; ze is pas veilig als de bijgewerkte, juiste PHP-versie ook echt draait.
Snelheid is bij zulke incidenten cruciaal: eerst de toegang beperken, daarna de patch installeren en vervolgens controleren of alles stabiel draait. Hoe wij als Kantex dit proces aanpakken, lees je in ons artikel Zo beschermen we jouw site tegen het PHP-lek.
Het zijn twee kritieke PHP-kwetsbaarheden waarmee aanvallers zonder account code kunnen uitvoeren op een kwetsbare server. Daarom wordt het als een zeer ernstig lek beschouwd.
Ja, PHP heeft op 21 oktober 2026 beveiligingsupdates uitgebracht voor de ondersteunde versies. Dat betekent echter niet dat het lek overal vanzelf is verholpen; de update moet daadwerkelijk op jouw server zijn geïnstalleerd.
Dat kan, want WordPress draait meestal op PHP. Het probleem zit niet in WordPress zelf, maar in de PHP-laag van de server. Is die laag niet gepatcht, dan kan jouw site nog steeds risico lopen.
Nee, volgens de PHP-ontwikkelaars bestaat er geen volledige tijdelijke oplossing. Tijdelijke maatregelen kunnen het risico verkleinen, maar echte bescherming krijg je alleen door te updaten naar een veilige versie.
Vraag direct na op welke PHP-versie jouw site draait en of de beveiligingsupdate van 21 oktober 2026 is doorgevoerd. Weet je het niet zeker? Laat het dan meteen controleren door je hostingpartij of het team dat jouw site onderhoudt.
