PHP-lek uitgelekt: wat het betekent voor je website

Dinsdag 20 oktober lekten de details van twee ernstige beveiligingslekken in PHP uit, een dag voordat de oplossing klaar was. Er zijn daarbij geen klantgegevens gestolen: wat uitlekte, is informatie over de lekken zelf. Maar dat is precies waarom het dringend is. Wie die informatie heeft, kan websites aanvallen die nog niet bijgewerkt zijn.

Wat is PHP, en waarom gaat dit jou aan?

PHP is de programmeertaal waarop het grootste deel van het web draait, ongeveer 70% van alle websites. WordPress, WooCommerce, Joomla en Drupal werken er allemaal mee. Heb je een WordPress website, dan draait die op PHP bij je hostingbedrijf.

Wat is er precies gebeurd?

• 20 oktober: PHP kondigde noodupdates aan. Dezelfde dag verschenen de details van de lekken al online, voor de geplande bekendmaking.
• 21 oktober: PHP bracht de updates uit: versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
• De lekken (CVE-2026-109618 en CVE-2026-109619) laten een aanvaller toe om zonder in te loggen code uit te voeren op de server. PHP geeft ze een score van 9,2 op 10.
• Alle gangbare manieren waarop hostingbedrijven PHP draaien zijn getroffen. Het lek zit in PHP zelf, dus het maakt niet uit hoe goed je website gebouwd is.
• Cloudflare en beveiligingsbedrijf Patchstack meldden op 21 oktober de eerste aanvalspogingen.

Wat moet je doen?

1. Kijk welke PHP-versie je site gebruikt

In WordPress vind je dat onder Hulpmiddelen > Site-gezondheid > Info > Server. Staat er een versie lager dan de versies hierboven, dan is je site nog niet beschermd.

2. Vraag je hostingbedrijf wanneer ze updaten

PHP bijwerken doet meestal je hostingbedrijf, niet jij. Veel hosts doen het automatisch, maar niet allemaal even snel. Een korte mail of een blik op hun statuspagina geeft zekerheid.

3. Draai je nog PHP 8.1 of ouder? Plan een overstap

Voor PHP 8.1 en oudere versies brengt PHP zelf geen updates meer uit. Ook PHP 8.2 krijgt na 31 december 2026 geen updates meer. Een overstap naar een nieuwere versie vraagt soms aanpassingen aan je thema of plugins, dus test dat eerst.

4. Rekenen op een firewall alleen is niet genoeg

Er circuleren tijdelijke instellingen en firewallregels om aanvallen tegen te houden. PHP zegt zelf duidelijk dat die je site niet veilig maken: alleen de update dicht het lek.

5. Houd je site de komende dagen in het oog

Zie je vreemde doorverwijzingen, onbekende beheerders of meldingen van je host? Lees dan wat je doet als je website gehackt is.

Twijfel je of je site veilig is?

Stuur ons de link van je website, dan kijken we of hij op een veilige PHP-versie draait. Neem contact op. Wil je je er in de toekomst geen zorgen meer over maken? Bekijk onze onderhoudspakketten.