PHP kwetsbaarheid website: wat moet jij nu doen?

Een PHP kwetsbaarheid in je website voelt abstract tot je ziet welke namen erdoor offline gingen. Op woensdag 21 oktober 2026 haalden onder meer DigiD, MijnOverheid, de Tweede Kamer en zelfs het Nationaal Cyber Security Centrum hun sites tijdelijk uit de lucht. Niet omdat ze gehackt waren, maar omdat ze het zekere voor het onzekere namen.

Volgens de berichtgeving van de NOS ging het om twee ernstige lekken in PHP waarmee een aanvaller code kan uitvoeren op een webserver, zonder in te loggen. PHP is de taal waarin onder andere WordPress, WooCommerce, Magento, Joomla en veel maatwerksites zijn gebouwd. Daarmee raakt dit bijna iedere ondernemer met een website.

Het goede nieuws: de fix is er, hij is gratis, en voor de meeste MKB- en ZZP-sites is het een kleine ingreep. Je moet alleen weten waar je moet kijken.

Wat er precies gebeurde

De makers van PHP hadden een beveiligingsupdate gepland. Een dag voor de release lekten de details uit op een openbaar forum, inclusief beelden van een werkende aanvalstool. Daarmee was de situatie omgedraaid: aanvallers wisten wat er fout zat, terwijl er nog geen fix beschikbaar was.

PHP heeft de update daarop een dag naar voren gehaald en op 21 oktober om 16.00 uur Nederlandse tijd uitgebracht. Grote organisaties gingen in de tussentijd offline omdat zij een aantrekkelijk doelwit zijn en niet binnen een uur alles kunnen bijwerken.

Een dag later werd duidelijk dat er ook echt misbruik plaatsvond. Het NCSC meldt dat er signalen van misbruik van het PHP-lek zijn binnengekomen. Er is geen bewijs dat er in Nederland gegevens zijn gestolen, en dat onderscheid telt: een aanvalspoging die wordt afgeslagen is iets anders dan een geslaagde inbraak.

Waarom dit anders is dan een gewone plug-inupdate

Dit is het punt waarop veel ondernemers de verkeerde conclusie trekken. Het lek zit niet in WordPress en niet in een plug-in. Het zit in PHP zelf, de laag eronder.

Dat betekent dat inloggen op je WordPress-beheer en alle updates uitvoeren hier niets aan verandert. Je kunt je thema en plug-ins helemaal bijwerken en nog steeds kwetsbaar zijn. De PHP-versie moet omhoog, en die wordt beheerd door je hostingpartij of door degene die je server beheert.

Het tweede verschil: een aanvaller hoeft niet in te loggen. Een sterk wachtwoord of tweestapsverificatie helpt hier dus niet. Ook een onderhoudspagina helpt niet, want PHP verwerkt het verzoek al voordat je site die melding kan tonen.

Check in 2 minuten je PHP-versie

Je hebt hier geen technische kennis voor nodig. Werk je met WordPress, ga dan naar je beheeromgeving, kies Gereedschap en dan Websitestatus, open het tabblad Info en klap het onderdeel Server uit. Daar staat je PHP-versie.

Heb je geen WordPress, kijk dan in het klantenpaneel van je hosting. Bij vrijwel elke Nederlandse hostingpartij staat daar een onderdeel met een naam als PHP-versie of PHP-instellingen. Vind je het niet, vraag je hostingpartij dan of de update van 21 oktober is doorgevoerd.

Vergelijk wat je ziet met de versies waarin de fix zit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Zit je op een lagere uitgave binnen diezelfde reeks, bijvoorbeeld 8.3.35, dan moet je bijwerken. Zit je op of boven die versies, dan ben je voor dit probleem in orde.

Waarom oude PHP-versies geen fix krijgen

Hier zit voor veel bedrijven het echte probleem. PHP 8.1 en alles daarvoor krijgt geen update meer, want die reeksen zijn met pensioen. Draai je nog op 8.1, 8.0 of 7.4, dan komt er dus geen fix en kun je niet simpelweg bijwerken.

De oplossing is dan een stap groter: naar een nieuwere PHP-reeks. Dat lukt vaak zonder veel werk, maar niet altijd. Oude thema's, verouderde plug-ins of maatwerkcode kunnen op een nieuwere PHP-versie stoppen met werken. Maak dus eerst een back-up, en probeer de overstap als het kan op een testomgeving.

Zie het niet als een losse klus, maar als een signaal. Een site die jaren achterloopt op PHP loopt meestal ook achter op andere punten. Dit is een goed moment voor WordPress onderhoud of structureel website onderhoud en hosting, zodat je niet bij elk nieuws hoeft te zoeken wie er eigenlijk naar kijkt.

Vergeet je eigen apparatuur op kantoor niet

Dit onderdeel wordt in de meeste berichten overgeslagen, maar is voor een kantoor net zo relevant. PHP zit niet alleen op webservers, maar ook in beheerschermen van sommige firewalls, NAS-systemen en netwerkapparatuur.

In de dagen na de bekendmaking kwamen meerdere fabrikanten met updates, en voor bepaalde NAS-systemen werd geadviseerd ze tijdelijk niet direct aan internet te hangen. Heb je een NAS met bestanden erop, of een firewall waarvan het beheerscherm van buitenaf bereikbaar is, loop dan na of er een update klaarstaat.

De bredere les: een beheerscherm hoort niet open te staan naar het hele internet. Dat zet je eenmalig goed in je netwerk, en dat scheelt je bij het volgende lek een hoop stress.

Wat je doet als je niet weet wie je website beheert

Dit komt vaker voor dan je denkt. De site is jaren geleden gebouwd door een bureau, een kennis of een oud-medewerker. Hij werkt, dus niemand kijkt ernaar. Tot er iets als dit langskomt.

Begin dan met drie vragen. Waar staat mijn site gehost en heb ik daar zelf toegang? Wie kan bij de beheeromgeving en de domeinnaam? En wie houdt updates bij, van zowel de site als de PHP-versie eronder?

Kun je die vragen niet beantwoorden, dan is het antwoord op de vierde vraag meestal ook nee: is er een werkende back-up? Juist bij een lek als dit wil je kunnen terugvallen op een versie van gisteren. Lees daarover ook onze uitleg over de 3-2-1 back-upstrategie, want een back-up die je nooit hebt teruggezet is vooral een aanname.

Rustig blijven, maar wel handelen

Deze kwetsbaarheid is ernstig en er wordt actief misbruik van gemaakt. Tegelijk is er voor jouw situatie geen reden voor paniek. De fix bestaat, is gratis en is bij de meeste hostingpartijen al doorgevoerd of binnen enkele dagen gepland.

Deze website draaide binnen enkele uren na de release op de bijgewerkte PHP-versie, met in de tussentijd maatregelen die de bekende aanvalsroute dichtzetten. Dat is precies waarom het helpt om te weten wie je PHP-versie bijhoudt, want dan hoef je bij zulk nieuws niets uit te zoeken.

corTechs helpt MKB en ZZP in Amsterdam en omgeving met website onderhoud en hosting, WordPress onderhoud, back-ups en netwerkbeheer. Geen vast contract, gewoon iemand die meekijkt als je het zelf niet wilt uitzoeken.

Veelgestelde vragen

Hoe weet ik welke PHP-versie mijn website gebruikt?

Bij WordPress zie je het onder Gereedschap en dan Websitestatus, bij het tabblad Info onder Server. Bij andere sites staat het meestal in het klantenpaneel van je hosting, vaak onder een kop als PHP-instellingen of PHP-versie. Weet je het niet, dan kan je hostingpartij of beheerder het in een minuut opzoeken.

Welke PHP-versies zijn veilig na deze kwetsbaarheid?

Veilig zijn de versies waarin de fix is doorgevoerd: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 of hoger. Zit je op een oudere uitgave binnen die reeksen, dan moet je bijwerken. Zit je op PHP 8.1 of ouder, dan komt er geen fix en moet je naar een nieuwere PHP-reeks.

Helpt het om WordPress en mijn plug-ins bij te werken?

Niet voor dit probleem. De kwetsbaarheid zit in PHP zelf, de software waarop WordPress draait, niet in WordPress of een plug-in. Updates in je WordPress-beheer veranderen dus niets aan deze kwetsbaarheid. De PHP-versie moet omhoog, en dat gebeurt bij je hosting of op je server.

Moet ik mijn website offline halen?

Voor de meeste MKB- en ZZP-sites is dat niet nodig als je snel kunt bijwerken. Grote organisaties deden het omdat zij een veel groter doelwit zijn en niet binnen een uur konden patchen. Kun je niet snel bijwerken en verwerk je gevoelige gegevens, dan is tijdelijk offline halen een redelijke afweging.

Loopt mijn eigen apparatuur op kantoor ook risico?

Dat kan. PHP zit ook in beheerschermen van sommige firewalls, NAS-systemen en netwerkapparatuur. Fabrikanten brachten updates uit en voor bepaalde NAS-systemen werd geadviseerd ze tijdelijk niet aan internet te hangen. Controleer dus ook of je kastje op kantoor een update klaar heeft staan.

Hoe weet ik of mijn website al misbruikt is?

Let op bestanden in je webmap die jij niet hebt geplaatst, onbekende beheerdersaccounts, nieuwe geplande taken en ongewone uitgaande verbindingen. Bewaar je logbestanden voordat je gaat opruimen. Twijfel je, laat het dan nakijken voordat je aanneemt dat het goed zit.