Sinds 21 oktober zijn er beveiligingsupdates voor de twee kritieke lekken in PHP, de programmeertaal onder WordPress, WooCommerce en de meeste webshops. De meeste grote hosters melden inmiddels dat hun servers zijn bijgewerkt. Daarmee is het probleem voor veel ondernemers opgelost, maar niet voor iedereen. De officiële reparatie bestaat alleen voor de nieuwere versies van PHP, en juist op kleine bedrijfssites draait vaak nog een oude.
Wat het lek is en wat je je hoster vraagt, lees je in ons eerdere stuk over het PHP-lek en je bedrijfswebsite. Hier gaat het om de sites die niet zomaar mee kunnen.
Waarom een oude site niet zomaar wordt bijgewerkt
De lekken, bekend als PHP2Shell, hebben een ernstscore van 9,2 op 10. Een aanvaller kan er code mee uitvoeren op de server zonder in te loggen. De patches zitten in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Volgens Malwarebytes krijgen PHP 8.1 en oudere versies geen reguliere beveiligingsupdates meer, en ligt het grootste risico op de langere termijn bij vergeten websites en software die niemand meer onderhoudt.
Vanwege de ernst heeft PHP voor 7.4, 8.0 en 8.1 bij uitzondering wel minimale reparaties van de broncode beschikbaar gesteld, meldt De Zaak. Hosters kunnen die verwerken, maar dat maakt die versies niet opnieuw ondersteund. Bij het volgende lek sta je weer op dezelfde plek.
| Jouw PHP-versie | Stand in oktober 2026 |
|---|---|
| 8.3, 8.4 of 8.5 | Officiële patch beschikbaar, versie wordt nog ondersteund |
| 8.2 | Officiële patch beschikbaar, beveiligingsondersteuning stopt op 31 december 2026 |
| 7.4, 8.0 of 8.1 | Alleen een uitzonderlijke reparatie van de broncode, geen reguliere updates meer |
| Ouder dan 7.4 | Afhankelijk van wat je hoster of Linux-leverancier zelf aanbiedt |
De reden dat zulke sites op een oude versie blijven hangen, is zelden de hoster. Het zijn de plugins en het thema. Een site die vijf jaar geleden is gebouwd en daarna niet meer is aangeraakt, gebruikt vaak onderdelen die op een nieuwe PHP-versie niet meer werken. Dan zet de hoster de versie niet om, omdat je site anders op zwart gaat, en blijft alles bij het oude. Ik zie dat vaker bij bedrijven die hun site ooit door een kennis of een freelancer lieten maken. Het werkte, dus niemand keek er nog naar.
Zo zie je welke versie je site gebruikt
In WordPress vind je het in het menu Gereedschap onder Sitediagnose. Open het tabblad Informatie en klap het kopje Server open. Achter PHP-versie staat het nummer. Bij de meeste hosters zie je het ook in het klantenpaneel bij de instellingen van je hostingpakket.
Let op dat dat nummer niet alles zegt. Hostnet, Antagonist, Vimexx en Combell melden volgens De Zaak dat ze ook oudere versies hebben gerepareerd, en daarbij kan het zichtbare versienummer gelijk zijn gebleven. Een laag nummer betekent dus niet automatisch dat je kwetsbaar bent. Een hoog nummer zonder de juiste laatste cijfers betekent omgekeerd niet dat je veilig bent. Alleen je hoster of beheerder kan bevestigen dat beide lekken zijn gedicht.
Heb je een eigen VPS of server zonder beheer, dan doet niemand het voor je. Vimexx zegt dat ook letterlijk over onbeheerde servers. Dan moet je de update zelf laten uitvoeren.
Dit vraag je je webbouwer
Staat je site op 8.1 of ouder, of op 8.2, dan is dit het moment om je webbouwer te mailen. Stel deze vragen.
- Zijn beide PHP-lekken van oktober 2026 op mijn site gedicht, en door wie?
- Welke PHP-versie draait mijn site, en waarom niet een nieuwere?
- Welke plugins of welk thema houden een overstap tegen, en zijn daar opvolgers voor?
- Kan de overstap eerst op een testkopie, met een back-up van de huidige site?
- Wat kost het om de site op een ondersteunde versie te krijgen, en wanneer kan het?
Is de reparatie nog niet toegepast, dan adviseren zowel De Zaak als het Europese CERT-EU om de site tijdelijk af te schermen of offline te halen. Dat klinkt drastisch, maar een gekaapte site die bezoekers naar phishing stuurt, kost je meer. Wat je doet als het toch misgaat, staat in ons stuk over aangifte doen na een hack.
Mijn advies is om de overstap niet als noodklus te zien maar als onderhoud dat al te lang bleef liggen. Draai je op 8.2, plan het dan nu, want op 31 december houdt ook die versie op. Een site die je niet kunt bijwerken, is geen bezit maar een risico met je bedrijfsnaam erop.