De PHP hack waarover op 21 oktober 2026 veel wordt bericht, staat bekend als PHP2Shell. Het gaat om twee kritieke kwetsbaarheden in PHP, de software waarop onder andere WordPress draait. Voor website-eigenaren is de belangrijkste vraag: wie controleert de server en installeert de beveiligingsupdate?
Stand van zaken: 21 oktober 2026, vóór de aangekondigde beveiligingsrelease. PHP heeft de update aangekondigd voor 16:00 uur Nederlandse tijd. De exacte kwetsbare en gerepareerde versienummers zijn op het moment van schrijven nog niet officieel gepubliceerd. Hieronder lees je wat bevestigd is en wat je nu kunt voorbereiden.
Wat is er bekend over PHP2Shell?
Het PHP-securityteam bevestigt dat de komende release twee kritieke kwetsbaarheden verhelpt. Beide hebben een CVSS v4.0-score van 9,2 op 10. De publicatie staat gepland voor 21 oktober om 14:00 UTC, oftewel 16:00 uur in Nederland. PHP kan eerder publiceren als details openbaar worden of aanwijzingen voor actief misbruik ontstaan.
CERT-EU noemt de identificatienummers CVE-2026-109618 en CVE-2026-109619. Het advies wijst op mogelijke uitvoering van code op afstand zonder inloggen. Dat betekent dat een aanvaller onder de kwetsbare omstandigheden mogelijk eigen code op de server kan uitvoeren. Welke omstandigheden precies nodig zijn, was bij publicatie van dit artikel nog niet officieel uitgewerkt.
Welke PHP-versies zijn getroffen?
Een definitieve lijst ontbreekt nog in de officiële PHP-aankondiging. CERT-EU meldt dat de kwetsbaarheden mogelijk PHP-versies vanaf PHP 5 raken. Dat is reden om breed te inventariseren, maar nog geen bevestigde kwetsbaarheidsmatrix. PHP zegt de getroffen versies en de versies met de oplossing samen met de release bekend te maken.
Alleen weten dat je website “PHP 8” gebruikt, is daarom onvoldoende. Vraag je hoster naar het volledige versienummer en de status van de gebruikte softwarepakketten. Een recent bijgewerkte server moet opnieuw worden beoordeeld aan de hand van deze specifieke beveiligingsmelding.
De ondersteuningspagina van PHP vermeldt momenteel PHP 8.2, 8.3, 8.4 en 8.5 als ondersteunde takken. Ondersteuning betekent dat een tak nog updates krijgt; het betekent niet automatisch dat jouw geïnstalleerde versie deze nieuwe lekken al verhelpt. Gebruik je een oudere tak, bespreek dan ook de overstap naar een ondersteunde versie.
Wat betekent de PHP hack voor WordPress?
PHP is een onderdeel van de serveromgeving waarop WordPress werkt. Een PHP-beveiligingsupdate is daarom een andere handeling dan het bijwerken van WordPress, een thema of een plugin. Een leeg updatescherm in WordPress bewijst niet dat de PHP-software op je hostingserver is bijgewerkt.
De officiële WordPress-beveiligingsdocumentatie benadrukt ook het belang van veilige serversoftware en een betrouwbare hostingpartij. Voor deze melding moet je dus weten of je hoster, serverbeheerder of eigen IT-team de PHP-update uitvoert. Een onderhoudsafspraak voor je website en het beheer van de server kunnen bij verschillende partijen liggen.
Wat kun je vandaag doen?
- Controleer welke PHP-versie je website gebruikt. In WordPress vind je die via Gereedschap → Sitediagnose → Informatie → Server. Controleer bij meerdere websites iedere omgeving en vraag je beheerder ook eventuele testomgevingen mee te nemen.
- Vraag wie de beveiligingsupdate uitvoert. Laat je hostingpartij bevestigen wanneer zij de fix beoordelen en uitrollen. Alleen “we houden alles bijgewerkt” geeft je nog geen duidelijkheid over deze specifieke melding.
- Controleer je back-up en herstelmogelijkheden. Zorg dat recente bestanden en databasegegevens beschikbaar zijn. Lees ook onze checklist voor een WordPress-back-up terugzetten. Een back-up helpt bij herstel, maar verhelpt het beveiligingslek zelf niet.
- Bereid een korte controle na onderhoud voor. Noteer de belangrijkste functies: inloggen, contactformulier, winkelwagen en afrekenen. Stem met je beheerder af hoe je die veilig test.
- Vraag na afloop om bevestiging. Laat vastleggen welke PHP-build actief is en of die volgens de leverancier de genoemde kwetsbaarheden verhelpt. Bewaar die terugkoppeling bij je onderhoudsgegevens.
Moet je je website tijdelijk offline halen?
CERT-EU adviseert om direct te kunnen patchen zodra een oplossing beschikbaar is. Als tijdig verhelpen niet mogelijk is, adviseert de organisatie te overwegen om publiek bereikbare toepassingen tijdelijk van openbare netwerken te isoleren. Bespreek met je beheerder wat dit voor jouw website betekent.
Een onderhoudspagina binnen WordPress bewijst niet dat PHP zelf van buitenaf onbereikbaar is. Laat een eventuele afscherming daarom technisch beoordelen. Bespreek ook welke gevolgen een tijdelijke onderbreking heeft voor bezoekers, formulieren en bestellingen. Baseer de keuze op de actuele leveranciersinformatie en je eigen omgeving.
Is mijn website al gehackt?
Een kwetsbaarheid betekent niet automatisch dat jouw website is overgenomen. Andersom bewijst een normaal uitziende homepage niet dat er niets is gebeurd. Bij vermoedens van misbruik is onderzoek nodig naar onder meer logs, bestanden en accounts.
Een beveiligingsupdate en het opruimen van een bestaande besmetting zijn verschillende stappen. Zie je vreemde doorverwijzingen, onbekende beheerders of gewijzigde bestanden? Laat dat onderzoeken. In onze blog over een gehackte WordPress-website lees je hoe je signalen herkent en herstel voorbereidt.
Laat je PHP-versie en onderhoud controleren
Gebruik de PHP2Shell-melding om de afspraken rond je website concreet te maken: wie beheert de server, wie installeert beveiligingsupdates en wie controleert je website daarna? Raadpleeg voor definitieve versienummers de officiële PHP-release en de informatie van je leverancier.
Je wilt als ondernemer vooral kunnen vertrouwen op je website. Klanten moeten je kunnen vinden, aanvragen moeten binnenkomen en je webshop moet blijven werken. Je hoeft daarvoor niet zelf alle PHP-versies en beveiligingsmeldingen bij te houden. Bij DSG WEB help ik je om duidelijk te krijgen wat er nodig is en pak ik de technische werkzaamheden voor je op.
Is je website gehackt? Ik help je met opschonen en herstel
Zie je vreemde doorverwijzingen, onbekende bestanden of meldingen dat je website onveilig is? Neem dan contact met mij op. Ik kan je website onderzoeken, schadelijke code en ongewenste bestanden verwijderen en helpen om de website weer goed te laten functioneren. Daarbij kijken we ook naar de oorzaak en de benodigde beveiligingsupdates. Alleen zichtbare rommel weghalen is immers onvoldoende als de toegang voor een aanvaller open blijft staan. Na de eerste beoordeling bespreken we welke herstelwerkzaamheden nodig zijn.
Toe aan hosting waarbij je weet wie het regelt?
Krijg je bij je huidige hostingpartij weinig duidelijkheid over updates, loop je tegen technische beperkingen aan of wil je gewoon persoonlijk contact met iemand die met je meedenkt? Dan kan ik ook je webhosting regelen en de verhuizing begeleiden. Daarbij controleer ik de PHP-omgeving en pas ik de beschikbare, relevante beveiligingsfixes toe. We stemmen vooraf af wat er met je website, database en eventuele e-mail moet gebeuren en controleren na de overstap de belangrijkste functies. Zo weet je wat er wordt overgenomen en wie je kunt benaderen voor technische vragen.
Ook voor verbeteringen aan je website kun je bij mij terecht
Mijn werk gaat verder dan hosting en beveiliging. Als WordPress developer help ik ook met het oplossen van fouten, snellere websites, maatwerkfuncties en koppelingen met andere systemen. Werkt je formulier niet goed, kost een handmatig proces steeds tijd of sluit je website niet meer aan op je bedrijf? Dan kijken we samen naar een praktische oplossing. Met passend WordPress onderhoud kunnen we vervolgens ook het bijhouden van je website organiseren.
Twijfel je over de veiligheid van je website, wil je overstappen van hosting of zoek je een developer die doorpakt? Neem contact op met DSG WEB. Stuur je websiteadres mee en vertel kort waar je tegenaan loopt. Dan bekijken we wat er nodig is en hoe ik je kan helpen.
