Kritiek beveiligingslek in PHP: wat moet je doen?

Draait je website op WordPress, WooCommerce of een ander systeem dat met PHP werkt? Dan is dit artikel voor jou. Op 21 oktober 2026 zijn er updates uitgekomen voor twee kritieke beveiligingslekken in PHP, de techniek waar heel veel websites op draaien. Geen reden voor paniek, wel een goed moment om even te controleren of jouw website is bijgewerkt. Hieronder lees je in gewone taal wat er aan de hand is en wat je kunt doen.

Wat is er aan de hand?

De makers van PHP hebben op php.net nieuwe versies uitgebracht: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Daarmee worden twee kritieke lekken gedicht, bekend als CVE-2026-109618 en CVE-2026-109619. Via deze lekken kan een aanvaller code uitvoeren op de server van je website, met een gewoon verzoek aan die website.

Voor wie is dit belangrijk?

Eigenlijk voor vrijwel iedere website die op PHP draait. Denk aan WordPress, WooCommerce en veel andere beheersystemen (CMS’en). Ook servers die PHP via PHP-FPM draaien, een veelgebruikte manier om PHP op een server te laten werken, zijn kwetsbaar.

Weet je niet waar je website op draait? Heb je een WordPress-site of een webshop, dan is de kans groot dat er PHP onder zit. Je websitebouwer of hostingpartij kan het je vertellen.

Wat moet je doen?

1. Laat PHP bijwerken

De echte oplossing is PHP bijwerken naar een versie waarin de lekken zijn gedicht. Het gaat hier om PHP op de server, dus een update van WordPress of je plug-ins lost dit niet op. Meestal regelt je hostingpartij deze update. Vraag even na of dat al is gebeurd.

Beheer je zelf een server? Werk PHP dan bij via de updates van je Linux-distributie. Debian heeft bijvoorbeeld al de bijgewerkte versie 8.2.35-1~deb12u1 uitgebracht.

2. Tijdelijke maatregel tot de update erop staat

Kan de update niet meteen worden uitgevoerd? Dan kan je hostingpartij of beheerder als tijdelijke maatregel de PHP-instelling session.upload_progress uitzetten. Dat verkleint het risico, maar het is geen vervanging voor de update. Zorg dus dat de update zo snel mogelijk alsnog wordt gedaan.

3. Controleer op sporen van een inbraak

Het is verstandig om ook te kijken of er niet al misbruik is gemaakt. Let bijvoorbeeld op bestanden of beheerders die je niet kent, aanpassingen die je zelf niet hebt gedaan of een website die zich ineens vreemd gedraagt. Twijfel je? Laat het dan nakijken. Een goede back-up helpt als je een schone versie moet terugzetten.

Hoe zit het bij Krijg Het Online?

Staat je website op onze servers? Dan hoef je niets te doen. Wij hebben onze servers op 21 oktober bijgewerkt, dezelfde dag dat de update beschikbaar kwam, en ze daarna gecontroleerd.

Waarom bijwerken zo belangrijk is

Dit soort updates laat goed zien waarom website-onderhoud belangrijk is. In software worden regelmatig lekken gevonden en gedicht. Hoe sneller een update erop staat, hoe kleiner de kans dat iemand er misbruik van maakt.

Bronnen

• Beveiligingsbericht en nieuwe versies op php.net (Engelstalig)
• Debian security tracker over CVE-2026-109618 (Engelstalig)