Start een chat.
Bel ons.
WhatsApp ons.
Maak een ticket aan.
Een kritiek PHP lek was naar buiten gekomen, er doken snel zorgen op over misbruik en verschillende organisaties namen direct maatregelen. Voor ondernemers is dat verwarrend, want PHP draait stilletjes op de achtergrond van enorm veel websites, webshops en WordPress omgevingen.
Wat is het PHP lek precies?
Het gaat om twee kritieke kwetsbaarheden in PHP die volgens de ontwikkelaars misbruikt kunnen worden voor unauthenticated remote code execution. Simpel gezegd: een aanvaller zou zonder geldig account kwaadaardige code kunnen laten uitvoeren op een kwetsbare server. Dat maakt dit type lek extra serieus.
Volgens de officiële beveiligingsmelding van PHP zijn hiervoor op 21 oktober 2026 beveiligingsreleases uitgebracht voor PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De ontwikkelaars zijn daar ook duidelijk over, er zijn geen volledige tijdelijke oplossingen, updaten is de enige echt veilige keuze. Lees daarvoor ook het officiële security advisory van PHP.
Waarom zorgde dit lek voor zoveel onrust?
De impact zat vooral in drie dingen tegelijk. Ten eerste draait PHP op een enorm deel van het web. Ten tweede ging het om een lek dat al vóór de officiële patch breed aandacht kreeg. En ten derde was de mogelijke impact groot genoeg dat sommige partijen geen risico wilden nemen en systemen tijdelijk extra afschermden of zelfs offline haalden.
Daardoor ontstond er in korte tijd veel ruis online. Je zag tijdelijke workarounds, losse adviezen en technische discussies voorbij komen. Maar de kern bleef hetzelfde, als jouw server nog op een kwetsbare PHP-versie draaide, moest de patch zo snel mogelijk worden geïnstalleerd.
Welke websites lopen risico?
Volgens PHP zelf gaat het risico over PHP-installaties die webverkeer verwerken, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Dat betekent dus niet alleen maatwerkapplicaties, maar ook veel bekende websitesystemen die op PHP draaien, zoals WordPress en WooCommerce.
Belangrijk om te begrijpen, het probleem zit niet per se in WordPress of in een plugin, maar in de onderliggende PHP laag. Daarom kan een website er aan de voorkant gewoon normaal uitzien, terwijl de server op de achtergrond toch kwetsbaar is. Juist daarom is technisch onderhoud zo belangrijk. Dat sluit ook aan op wat we eerder schreven over de veiligheid van WordPress.
Wat is er inmiddels opgelost?
De goede boodschap is dat PHP vanmiddag de beveiligingsupdates heeft uitgebracht. Daarmee is het lek niet meer een kwestie van afwachten, maar van goed patchen en controleren. Een omgeving is dus niet veilig omdat er “iets is gedaan”, maar pas als de juiste bijgewerkte PHP-versie daadwerkelijk draait.
Bij Webtify hebben we vandaag in onze eigen updateblog ook gedeeld welke maatregelen we hebben genomen om websites en webshops van klanten te beschermen. Daarin zie je goed hoe belangrijk snelheid is bij dit soort incidenten, eerst afschermen, daarna patchen en vervolgens controleren of alles stabiel blijft. Je leest dat terug in onze blog over het PHP lek en hoe wij websites en webshops beschermen.
Het gaat om twee kritieke kwetsbaarheden in PHP waarmee aanvallers mogelijk zonder account code kunnen uitvoeren op een kwetsbare server. Daarom werd dit lek als zeer ernstig gezien.
Ja, PHP heeft op 21 oktober 2026 beveiligingsupdates uitgebracht voor ondersteunde versies. Het lek is daarmee niet automatisch overal opgelost; je server moet die update wel echt hebben geïnstalleerd.
Dat kan, want WordPress draait meestal op PHP. Het probleem zit niet in WordPress zelf, maar in de PHP-laag van de server. Als die niet gepatcht is, kan je website alsnog risico lopen.
Nee, volgens de PHP-ontwikkelaars zijn er geen complete tijdelijke mitigaties. Tijdelijke maatregelen kunnen risico verkleinen, maar alleen updaten naar een veilige versie biedt echte bescherming.
Vraag direct na welke PHP-versie jouw website draait en of de security update van 21 oktober 2026 is doorgevoerd. Twijfel je, laat je hosting of beheerpartij dit dan meteen controleren.
