Website beveiligingslek: wat doe je bij het PHP-lek?

Draait je website of webshop op WordPress, Drupal, Joomla, Magento of Laravel, dan loop je risico door de twee PHP-lekken die op 21 oktober zijn gedicht. Ze hebben een ernstscore van 9,2 op 10. Een plugin-update helpt niet tegen deze lekken, want ze zitten in PHP zelf. Vraag je hoster of webbouwer vandaag schriftelijk welke PHP-versie nu draait en of die is bijgewerkt. Leg daarna vast wie dat de volgende keer binnen een dag regelt.

Wat is er aan de hand met PHP?

PHP is de programmeertaal onder veel websites en webapplicaties, waaronder installaties van WordPress, Drupal, Magento en Laravel, schrijft Computable. In PHP zaten twee fouten, CVE-2026-109618 en CVE-2026-109619, die samen PHP2Shell heten. Met die fouten kan een aanvaller zonder inloggegevens code uitvoeren op je server en in het ergste geval de hele server overnemen. De fout zit in de manier waarop PHP omgaat met geheugentekort en fatale fouten, schrijven de onderzoekers volgens het overzicht van Latent Space. Het lek zit dus niet in een plugin of thema, en wachten op een update van je pluginmaker heeft geen zin.

De bekendmaking liep anders dan gepland. Op 20 oktober rond 15:00 UTC gingen de CVE-nummers rond op fora en sociale media, met een verkeerde score van 10,0. De PHP Foundation haalde de release daarop een dag naar voren, naar 21 oktober 14:00 UTC. Dat beschrijft Simon Willison, die de uitleg van de PHP Foundation citeert. Volgens hem gingen er de nacht ervoor al exploits rond. De updates zijn er voor de hele PHP 8.x-lijn. CERT-EU waarschuwt dat mogelijk alle versies vanaf PHP 5 geraakt zijn, al heeft de PHP Foundation dat nog niet bevestigd.

Hoe weet ik of mijn website geraakt is?

Of je website echt aan te vallen is, hangt van meer af dan alleen PHP. "Een kwetsbaarheid betekent niet automatisch dat al die websites gehackt kunnen worden," zegt Sebastiaan Kors van Pinewood in Computable. Volgens hem hangt het af van de softwareversie, de configuratie en de beveiligingsmaatregelen. Zelf kun je dat meestal niet zien. Je kunt wel de goede vragen stellen aan wie je site beheert.

Wat je wilt weten	Hoe je het controleert
Draait mijn site op PHP?	Vraag je webbouwer op welk systeem de site draait. WordPress, Drupal, Joomla, Magento en Laravel draaien op PHP.
Welke PHP-versie draait er nu?	Vraag naar de versie die op dit moment actief is op de server. Een geïnstalleerde update telt pas als de processen opnieuw gestart zijn.
Is de update van 21 oktober erop gezet?	Vraag een bevestiging per mail, met datum en versienummer.
Draait er elders nog PHP?	Denk aan een oude testsite, een klantportaal of een koppeling op een aparte server.
Staat er een firewall voor de site?	Vraag of het verkeer via een dienst als Cloudflare loopt, en of de server ook direct bereikbaar is.
Is er al misbruik gemaakt?	Laat de logbestanden nakijken op verdachte activiteit, in elk geval vanaf 20 oktober.

OpenAI heeft inmiddels een hulpmiddel voor Codex gepubliceerd dat beheerders stap voor stap laat nagaan of hun site geraakt is. Je beheerder kan daarmee de controle sneller doorlopen. Een bevestiging van degene die de server beheert, heb je daarnaast nog steeds nodig.

Wie moet het PHP-lek oplossen?

Het PHP-lek los je op bij degene die de server beheert, en dat is lang niet altijd degene die je website heeft gebouwd. PHP bijwerken is voor een serverbeheerder routinewerk. Wij schatten in dat MKB-bedrijven de meeste tijd kwijt zijn aan uitzoeken wie die beheerder eigenlijk is. Met dit overzicht krijgen we dat snel helder:

Jouw situatie	Bij wie leg je de vraag neer	Waar je op let
Website bij een hostingpakket, je beheert WordPress zelf	De hostingpartij, want die beheert de server	Jouw WordPress-update raakt PHP niet
Webbureau met een onderhoudscontract	Het webbureau	Staat PHP in het contract, of alleen WordPress en plugins?
Eigen server of VPS, ooit ingericht door een IT-partner of freelancer	Wie de server heeft ingericht	Hier staat het vaak nergens op papier
Webshop op een online platform waar je geen server ziet	Het platform	Vraag of het platform geraakt was en of het is opgelost
Niemand bekend, de bouwer is vertrokken	Jij, tot je iemand hebt gevonden	Hier gaat de meeste tijd verloren

Zit je in de laatste rij, zoek dan vandaag eerst uit wie toegang heeft tot de server. Pas daarna kan iemand PHP bijwerken.

Wat als je hoster of bouwer niet snel reageert?

Reageert je hoster of bouwer niet snel, dan zijn er twee tijdelijke maatregelen. Cloudflare had al vóór de release firewallregels uitgerold tegen de bekende aanvalsroutes, ook voor klanten met een gratis account. De CTO van Cloudflare noemde die regels zelf een noodmaatregel en zei erbij dat patchen nodig blijft. Is je server ook direct bereikbaar, buiten Cloudflare om, dan helpt de firewall op die route niet.

De andere maatregel is je site tijdelijk offline halen. Britse en Europese cyberautoriteiten adviseren om kwetsbare systemen desnoods te isoleren tot de update erop staat. De Amerikaanse NSA adviseerde systemen offline te halen als direct bijwerken niet lukt. Voor een bedrijfssite met contactgegevens is een dag offline vervelend, maar te overzien. Bij een webshop of een klantportaal met inloggegevens weeg je dat af tegen wat Kors het ergste geval noemt: een aanvaller die klantgegevens, databases of bedrijfsinformatie in handen krijgt.

Is je site veilig zodra de PHP-update erop staat?

Een PHP-update sluit het lek, maar zegt niets over wat er al gebeurd is. Latent Space zegt het droog: bijwerken dicht de kwetsbaarheid, maar bewijst niet dat inloggegevens of data nooit zijn uitgelekt. Er gingen al exploits rond voordat de update er was. Was je site in die uren onbeschermd bereikbaar, laat dan apart onderzoeken of er sporen van misbruik zijn. Dat onderzoek is een aparte klus naast de update, dus spreek ook af wie dat doet.

Gaat dit vaker gebeuren nu AI lekken zoekt?

Waarschijnlijk wel. Wiz Research vond het eerste lek op 19 augustus met hun eigen tool Wiz Atlas en de AI-modellen Gemini 4 Argon en GPT-5.6 Sol. Een onderzoeker van Calif vond dezelfde fouten los daarvan, met GPT-5.6 Sol, binnen het programma Patch the Planet van OpenAI. Wiz meldde de lekken op 24 augustus bij PHP, PHP bevestigde op 21 september en op 21 oktober lag de update er.

Latent Space verwacht minstens een jaar lang meer van dit soort kritieke vondsten. Investeerder Sarah Guo noemt een stijging van zo'n 4.000 gemelde kwetsbaarheden per maand naar 15.000 sinds april. Die cijfers zijn niet onafhankelijk gecontroleerd, en meer meldingen betekent niet automatisch meer inbraken. Latent Space merkt ook op dat er bij zo'n grote bekendmaking altijd wat marketing meespeelt, en dat het debat nog loopt of dit lek echt in de buurt komt van bekende lekken als Heartbleed.

Wij vinden het vooral goed nieuws dat verdedigers met AI zulke fouten vinden voordat aanvallers dat doen. Wel komen de momenten waarop je binnen een dag moet bijwerken daardoor vaker. In onze blog over talentix schreven we al dat alles wat kapot kan, ook kapotgaat. Dat geldt net zo goed voor PHP onder je website, en daarom moet het bijwerken geregeld zijn voordat het volgende lek komt.

Hoe ben je de volgende keer binnen een dag klaar?

Maak nu, terwijl het nog vers is, een kort briefje met deze afspraken:

1. Schrijf op waar bij jou PHP draait: website, webshop, testomgeving, klantportaal, koppelingen.
2. Zet bij elk onderdeel één naam en een telefoonnummer van wie PHP bijwerkt.
3. Spreek met die persoon af dat een kritiek lek binnen een dag is opgelost, met een bevestiging van de versie die echt draait.
4. Leg vast wanneer de site offline mag en wie dat beslist.
5. Controleer of PHP-updates in je onderhoudscontract staan, naast WordPress en plugins.

Bewaar dat briefje ergens waar je het ook vindt als je website plat ligt. Wil je dat overzicht samen met ons opstellen naast de rest van je systemen, dan kan dat in een kansenscan van € 495.

Veelgestelde vragen

Mijn webbouwer zegt dat WordPress up-to-date is. Ben ik dan klaar?

Nee. Een bijgewerkte WordPress met bijgewerkte plugins zegt niets over PHP2Shell, want dat lek zit in PHP zelf, de laag onder WordPress. Vraag apart naar het PHP-versienummer dat nu draait. Die laag werkt je hoster of serverbeheerder bij.

Ik heb een gratis Cloudflare-account. Is dat genoeg?

Deels. De firewallregels van Cloudflare houden de bekende aanvalsroutes tegen, maar Cloudflare noemt ze zelf een noodmaatregel. Is je server ook rechtstreeks bereikbaar, dan loopt een aanvaller er zo omheen. PHP bijwerken blijft dus nodig.

Mijn site draait nog op een oude PHP-versie. Wat nu?

De updates van 21 oktober zijn uitgebracht voor de PHP 8.x-lijn. CERT-EU waarschuwt dat mogelijk ook oudere versies geraakt zijn. Draait je site op iets ouders, vraag je bouwer dan wat er nodig is om naar een bijgewerkte 8.x-versie te gaan, en of de site intussen offline moet.

Kan ik zelf met AI controleren of mijn site kwetsbaar is?

OpenAI heeft een hulpmiddel voor Codex gepubliceerd dat je door de controle leidt. Daarvoor heb je wel toegang tot de server nodig, en die heeft de gemiddelde ondernemer niet. Een bevestiging van je hoster of bouwer met het versienummer dat nu draait, is sneller en zekerder.