In PHP, de programmeertaal waarop WordPress, WooCommerce en een groot deel van alle websites draaien, zijn twee kritieke lekken gevonden. Het gaat om CVE-2026-109618 en CVE-2026-109619, allebei met een risicoscore van 9.2 (kritiek). Via deze lekken kunnen aanvallers op afstand eigen code uitvoeren op je server. Uit voorzorg zijn op 21 oktober 2026 onder meer de websites van het NCSC, MijnOverheid en DigiD tijdelijk offline gehaald.
Het goede nieuws: er is inmiddels een update. Het slechte nieuws: niet jouw website, maar je server moet worden bijgewerkt. Een WordPress-update of een beveiligingsplugin lost dit niet op.
In het kort
- Wat: twee lekken in PHP zelf (CVE-2026-109618 en CVE-2026-109619), CVSS 9.2
- Gevolg: aanvallers kunnen op afstand code uitvoeren op je server
- Geraakt: vrijwel elke webserver met PHP, en dus vrijwel elke WordPress-site
- Oplossing: PHP bijwerken naar 8.2.35, 8.3.36 of 8.4.27 (uitgebracht op 21 oktober 2026)
- Let op: PHP 8.1 en ouder krijgen geen officiële fix
- Gevaar: beveiligingsbedrijf Sansec verwachtte massale aanvallen binnen 15 minuten na de publicatie van de fix
Waarom gaan zoveel websites offline?
De fix voor PHP kwam op 21 oktober om 16:00 uur (Nederlandse tijd) uit. Vanaf dat moment zijn de technische details openbaar, en kunnen criminelen hun aanvallen automatiseren. Volgens Sansec was er bovendien al een aanvalstool met de naam PHP2Shell uitgelekt, en meldde Cloudflare dezelfde ochtend de eerste aanvallen.
Organisaties die hun servers niet direct konden bijwerken, kozen daarom voor de veiligste weg: de website tijdelijk uit de lucht halen tot de update er is. Dat is verstandig voor sites met gevoelige gegevens, maar voor de meeste bedrijven is het niet nodig als je snel handelt.
Wat moet je nu doen?
1. Werk PHP bij op je server
Dit is de enige echte oplossing. Zorg dat je server een van deze versies draait:
- PHP 8.2 → 8.2.35 of hoger
- PHP 8.3 → 8.3.36 of hoger
- PHP 8.4 → 8.4.27 of hoger
Gebruik je Plesk? De nieuwe PHP-versies staan klaar in de Plesk-installer (Tools & Instellingen → Updates). Ze verschijnen daar soms eerder dan in de gewone pakketlijst van de server.
Heb je gedeelde hosting? Dan kun je dit niet zelf. Vraag je hostingpartij of de update is uitgevoerd. Je ziet je PHP-versie in WordPress onder Hulpmiddelen → Sitediagnose → Info → Server.
2. Draai je nog op PHP 8.1 of ouder? Stap over
Voor PHP 8.1, 8.0 en 7.4 komt er geen officiële fix. Zet je website over naar PHP 8.2 of hoger. Controleer na de overstap of je site, je thema en je plugins nog goed werken. De meeste moderne WordPress-sites draaien zonder problemen op PHP 8.2 of 8.3.
3. Kun je niet direct bijwerken? Neem een tijdelijke maatregel
Sansec adviseert deze twee PHP-instellingen als noodmaatregel tot de update erop staat. Ze bieden geen garantie, maar maken een aanval lastiger, en ze zijn veilig voor een normale WordPress- of WooCommerce-site:
session.upload_progress.enabled = 0
session.use_strict_mode = 1Die zet je in de php.ini van je server, of, als je geen toegang tot de server hebt, vaak in een .user.ini-bestand in de hoofdmap van je website.
4. Controleer of je al getroffen bent
- Kijk of er de afgelopen dagen nieuwe of gewijzigde PHP-bestanden op je server zijn bijgekomen, vooral in de map
wp-content/uploads, waar PHP-bestanden normaal niet horen. - Controleer of er onbekende beheerders in WordPress staan.
- Let op vreemde processen of een server die ineens veel zwaarder belast is (bijvoorbeeld door een cryptominer).
- Twijfel je? Laat je site scannen en zet zo nodig een schone back-up terug.
Wil je snel een eerste indruk van je site? Gebruik onze gratis WordPress Security Scanner. Let op: dit lek zit in PHP op de server, en dat kan een scanner van buitenaf niet volledig controleren. Vraag daarom altijd na welke PHP-versie je server draait.
Waarom is dit lek zo ernstig?
Bij de meeste WordPress-lekken zit het probleem in één plugin of thema, en loopt alleen een deel van de websites risico. Dit lek zit in PHP zelf: de basis waar WordPress op draait. Daardoor is vrijwel elke PHP-website geraakt, ongeacht welke plugins je gebruikt. Aanvallers scannen het hele internet geautomatiseerd. Ze kiezen jouw site niet uit; ze proberen gewoon iedereen.
Wie binnenkomt, kan bijvoorbeeld betaalgegevens in een webshop stelen, een cryptominer op je server zetten, spam versturen of je site gebruiken om bezoekers te besmetten.
Hulp nodig? Trek aan de bel
De servers die WordPress4You beheert, zijn al bijgewerkt naar de gepatchte PHP-versies en gecontroleerd op sporen van een inbraak.
Heb je je website ergens anders, en weet je niet of je server al is bijgewerkt? Of wil je laten controleren of je website al is getroffen? Neem gerust contact met ons op. We helpen je met:
- De PHP-update op je server, of het regelen ervan met je hostingpartij
- Overstappen van PHP 8.1 of ouder naar een veilige versie, zonder dat je site stukgaat
- Een inbraakcheck: we controleren je site en server op sporen van een aanval
- Herstel als het toch mis is gegaan
Neem contact met ons op. Bij dit soort lekken telt elke dag.
Bronnen: NOS via FOK! (21 oktober 2026), Sansec (“PHP2Shell”), php.net. We werken dit artikel bij zodra er meer bekend is.