WordPress-lek door PHP2Shell: wat betekent het voor je website?

Wat is er aan de hand met PHP?

Op 20 oktober 2026 lekte informatie uit over twee kritieke lekken in PHP, de programmeertaal waar een groot deel van alle websites op draait. De lekken heten CVE-2026-109618 en CVE-2026-109619 en worden in de media PHP2Shell genoemd. Het PHP-securityteam geeft beide een CVSS-score van 9.2 (versie 4.0), de categorie kritiek. Volgens onderzoekers gaat het om remote code execution: een aanvaller kan op afstand eigen code laten draaien op de server van een website.

Kort gezegd: draait je website op PHP, zoals WordPress, WooCommerce of Joomla, dan is dit voor jou een WordPress-lek om serieus te nemen. Je wilt vandaag weten of je hoster PHP bijwerkt. Draait je site niet op PHP, dan raakt dit specifieke lek je site niet. Websites die Klikstroom bouwt draaien zonder PHP. Hieronder lees je wat er bekend is, wat je nu kunt doen en wat een website zonder PHP in de praktijk betekent.

Stand van zaken: 21 oktober 2026, rond 14:00 uur Nederlandse tijd. De situatie verandert snel. Check altijd de actuele informatie op php.net.

Wat weten we over PHP2Shell?

• Twee kritieke lekken in PHP zelf. Het gaat niet om een fout in één plugin of thema, maar om PHP. Daardoor kan het elke applicatie raken die op PHP draait.
• Waarschijnlijk veel versies kwetsbaar. Volgens CERT-EU en Sansec zijn mogelijk alle PHP-versies vanaf PHP 5.4 geraakt. De officiële lijst met kwetsbare en gerepareerde versies publiceert PHP samen met de update.
• De update komt op 21 oktober om 16:00 uur. PHP heeft de beveiligingsupdate aangekondigd voor woensdag 21 oktober 2026 om 14:00 UTC, dat is 16:00 uur Nederlandse tijd.
• Verwachte versies. Volgens berichtgeving vooraf (onder meer Tenable) gaat het om PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP 8.1 en ouder worden niet meer ondersteund en krijgen naar verwachting geen officiële fix.
• Eerste aanvallen gemeld. Cloudflare meldt dat het de eerste aanvalspogingen ziet en heeft tijdelijke firewallregels uitgerold. Het Nederlandse NCSC had volgens de NOS op 21 oktober nog geen actief misbruik gezien, maar waarschuwt dat elk systeem met PHP dat vanaf internet bereikbaar is vermoedelijk kwetsbaar is tot het is bijgewerkt.
• Instellingen aanpassen is geen oplossing. PHP-ontwikkelaars zeggen dat alleen updaten echt helpt. Tijdelijke maatregelen kunnen het risico verkleinen, maar vervangen de update niet.

Is PHP2Shell een WordPress-lek?

Niet precies. Het lek zit in PHP zelf, niet in WordPress. Maar omdat WordPress op PHP draait, raakt dit WordPress-lek in de praktijk vrijwel elke WordPress-site, inclusief WooCommerce-webshops. Tweakers meldt dat in een rondgaande demonstratie te zien is hoe een aanvaller de inlog van cms'en als WordPress en Joomla omzeilt. Een WordPress-update of een beveiligingsplugin lost dit daarom niet op: de oplossing is PHP op de server bijwerken. Dat doet meestal je hoster.

Waarom halen organisaties hun site offline?

Omdat updaten tot 16:00 uur niet kan, kiezen veel organisaties voor zekerheid. Volgens de NOS zijn onder meer MijnOverheid.nl, DigiD, de website van de Tweede Kamer, het NCSC, de Autoriteit Persoonsgegevens, de nieuwssite van RTL en Tweakers uit voorzorg (deels) uit de lucht gehaald. Dat zegt niet dat die sites gehackt zijn. Het laat zien hoe serieus dit lek wordt genomen.

Wat moet je vandaag doen als je site op PHP draait?

Weet je niet zeker waar je site op draait? Grote kans dat het PHP is als je werkt met WordPress, WooCommerce, Joomla, Drupal, Magento of een maatwerksite van een paar jaar oud. Dit kun je doen:

• Vraag je hoster of webbouwer of PHP vandaag wordt bijgewerkt. Op gedeelde hosting regelt de hoster dat meestal. Vraag het toch na, en vraag naar welke versie.
• Draai je op PHP 8.1 of ouder? Dan komt er naar verwachting geen officiële update. Vraag je hoster om over te stappen naar een ondersteunde versie.
• Overweeg je site tijdelijk offline te halen als die veel gevoelige gegevens verwerkt en je niet zeker weet of de update op tijd komt. Dat is wat CERT-EU en het Britse NCSC adviseren als direct patchen niet lukt.
• Controleer na de update of er niets vreemds is gebeurd. Denk aan onbekende beheerders, nieuwe bestanden of rare doorverwijzingen. Je webbouwer of hoster kan je daarbij helpen.

Belangrijk: veel WordPress-sites zijn prima gebouwd en goed onderhouden. Het probleem zit niet in WordPress als keuze, maar in het feit dat elke PHP-site afhankelijk is van snel en goed patchen. Bij dit lek moet dat binnen uren gebeuren.

Wat betekent een website zonder PHP?

Een klassieke WordPress-site draait op een server met PHP. Bij elk bezoek voert die server PHP-code uit, vaak samen met een thema en een reeks plugins. Elk van die onderdelen moet je bijhouden.

De websites die wij bouwen werken anders. Ze zijn gemaakt met moderne webtechniek (React en TypeScript) en draaien op hosting zonder PHP. Er staat dus geen PHP-server en geen WordPress met plugins achter je site. Klikstroom.nl zelf werkt ook zo, inclusief deze blog.

Wat dat in de praktijk betekent:

• Lekken in PHP raken je site niet. PHP2Shell is precies het soort lek waar je dan niet van wakker hoeft te liggen.
• Geen plugins om bij te houden. Bij een WordPress-site horen plugins die je stuk voor stuk moet updaten. Zonder plugins valt dat onderhoud weg.
• Minder bewegende delen. Hoe minder software er op je server draait, hoe kleiner het oppervlak waar een aanvaller iets mee kan.

Is een website zonder PHP dan 100% veilig?

Nee. Geen enkele website is risicoloos, en wie dat belooft, verkoopt je iets. Ook een site zonder PHP gebruikt software van anderen, zoals JavaScript-pakketten, een hostingplatform en soms een database of formulierdienst. Ook daar kunnen lekken in zitten, en ook die moeten bijgewerkt worden. Daarnaast blijven goede wachtwoorden en tweestapsverificatie op je accounts net zo belangrijk.

Het verschil zit in hoeveel je zelf moet bijhouden en hoe groot de impact is van een lek als dit. Een site zonder PHP heeft simpelweg geen PHP-server die je vandaag nog moet patchen.

Overstappen van WordPress naar een site zonder PHP

Overstappen hoeft niet ten koste te gaan van je vindbaarheid of van wat je site nu kan:

• Content en blog. Je kunt nog steeds zelf teksten en blogs beheren, zonder WordPress.
• Formulieren en afspraken. Contactformulieren en belafspraken werken gewoon, zonder PHP op je eigen server.
• Webshop. Voor webshops werken we met Shopify. Hosting, beveiliging en checkout regelt Shopify, je beheert zelf geen PHP-server.
• SEO behouden. Bij een overstap zetten we oude adressen netjes door naar de nieuwe pagina's, zodat Google en je bezoekers je blijven vinden.

Benieuwd hoe dat er voor jouw site uitziet? Op Website zonder PHP lees je hoe we dat aanpakken. Over doorlopend onderhoud lees je meer in Wanneer heeft een website wél onderhoud nodig.

Kort samengevat

• PHP2Shell (CVE-2026-109618 en CVE-2026-109619) zijn twee kritieke lekken in PHP zelf, met een CVSS-score van 9.2.
• De update staat gepland voor 21 oktober 2026 om 16:00 uur Nederlandse tijd. Updaten is de enige echte oplossing.
• Draait je site op PHP, vraag dan vandaag je hoster of webbouwer of PHP wordt bijgewerkt.
• Een website zonder PHP wordt door dit soort PHP-lekken niet geraakt en heeft geen plugins om bij te houden. Risicoloos is geen enkele site.

Even sparren over je website?

Twijfel je of je site op PHP draait, of wil je weten wat overstappen naar een website zonder PHP voor jou betekent? Plan een gratis kennismaking, mail naar info@klikstroom.nl of bel 06 83453167. Het gesprek is gratis en vrijblijvend.