Op 21 oktober 2026 bracht PHP een spoedupdate uit voor twee kritieke beveiligingslekken. Via die lekken kan een aanvaller op afstand eigen code op een webserver uitvoeren, zonder in te loggen. Draait jouw website op WordPress of een ander systeem dat op PHP gebouwd is? Dan geldt dit vrijwel zeker ook voor jou.
Geen paniek: het probleem is opgelost en de oplossing is meestal eenvoudig. In deze blog leggen we in gewone taal uit wat PHP is, wat er precies aan de hand is en wat je vandaag nog kunt doen om je website veilig te houden.
Wat is PHP eigenlijk?
PHP is de programmeertaal die achter de schermen van een groot deel van het internet draait. Als iemand jouw website bezoekt, zorgt PHP ervoor dat de juiste pagina wordt opgebouwd: je teksten, je contactformulier, je blog of je webshop.
WordPress, het populairste websitesysteem ter wereld, is volledig in PHP geschreven. Ook de plugins en thema’s die je gebruikt zijn PHP. Je ziet er als bezoeker of ondernemer niets van, maar het is de motor onder de motorkap.
Die motor draait niet vanzelf op de nieuwste versie. Welke PHP-versie jouw site gebruikt, wordt ingesteld bij je hostingpartij. Daar zit precies het punt waar het vaak misgaat.
Wat is er precies gebeurd?
Het PHP-beveiligingsteam vond twee ernstige lekken in PHP zelf. Op 20 oktober kondigden ze een kritieke update aan, een dag later volgde de oplossing in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Beide lekken kregen een risicoscore van 9,2 op 10.
Wat maakt dit zo ernstig?
- Geen inlog nodig. Een aanvaller hoeft geen wachtwoord te kennen. Een speciaal opgesteld verzoek aan je website kan al genoeg zijn.
- Volledige controle. Een aanvaller kan eigen code op de server uitvoeren. Denk aan het stelen van klantgegevens, spam versturen of je site laten doorverwijzen naar oplichterspagina’s.
- Bijna iedereen loopt risico. Het gaat om vrijwel alle PHP-installaties die websites draaien, ongeacht welke serversoftware je host gebruikt.
De ontwikkelaars van PHP noemen updaten de enige echt veilige oplossing. Tijdelijke instellingen kunnen het risico verkleinen, maar maken een site niet veilig.
En dit staat niet op zichzelf. In 2026 verschenen al in mei, juli, eind juli en september beveiligingsupdates voor PHP. Een website onderhouden is dus geen eenmalige klus, maar doorlopend werk.
Loopt mijn website risico?
Dat hangt vooral af van de PHP-versie waarop je site draait. Elke PHP-versie krijgt een paar jaar beveiligingsupdates. Daarna stopt het, ook als er later een lek wordt gevonden.
| PHP-versie | Beveiligingsupdates tot | Wat betekent dit voor jou? |
|---|---|---|
| 8.5 | 31 december 2029 | Nieuwste versie, prima keuze |
| 8.4 | 31 december 2028 | Goede, toekomstbestendige keuze |
| 8.3 | 31 december 2027 | Veilig, mits bijgewerkt naar 8.3.36 |
| 8.2 | 31 december 2026 | Nu nog bijgewerkt, maar over ruim twee maanden niet meer. Plan een overstap. |
| 8.1 en ouder | Gestopt | Geen officiële updates meer. Direct actie nodig. |
Bron: PHP – Supported Versions
Vooral sites op PHP 8.1, 8.0 of 7.4 lopen nu extra risico. Het PHP-team geeft voor die versies geen gewone update meer uit. Juist oudere websites die jaren niet zijn aangeraakt, draaien vaak nog op zo’n versie.
Zo houd je je website veilig: 5 stappen
- Check je PHP-versie. In WordPress ga je naar Extra → Sitegezondheid → tabblad Info → Server. Daar staat welke PHP-versie je site gebruikt. Je kunt het ook terugvinden in het controlepaneel van je hostingpartij.
- Vraag je host naar de update. Het bijwerken van PHP zelf gebeurt op de server, dus bij je hostingpartij. Vraag of ze de update van 21 oktober al hebben doorgevoerd. Goede hosts doen dit snel, maar het is verstandig om het even na te gaan.
- Stap over naar PHP 8.3 of hoger. Draait je site op 8.2 of ouder? Kies dan voor 8.3, 8.4 of 8.5. WordPress raadt zelf minimaal PHP 8.3 aan. Bij de meeste hosts is dit een kwestie van één instelling aanpassen.
- Maak eerst een back-up en test. Een nieuwere PHP-versie kan botsen met een verouderde plugin of een oud thema. Maak daarom altijd eerst een volledige back-up, en test de overstap het liefst op een testomgeving voordat je live gaat.
- Houd alles bij. Werk ook WordPress, je thema en je plugins regelmatig bij. Verwijder plugins die je niet meer gebruikt: elke plugin is een extra deur die op slot moet.
Liever niet zelf aan de knoppen draaien?
Dat snappen we. Je bent ondernemer, geen systeembeheerder. Bij JRC Media kijken we graag met je mee: we checken op welke PHP-versie je website draait, stemmen de update af met je hostingpartij en testen of alles daarna nog goed werkt.
Zo blijft je website niet alleen mooi, maar ook veilig en betrouwbaar voor je klanten. Twijfel je of jouw site risico loopt? Neem contact met ons op of bel ons op 06 14 67 78 13. We kijken het vrijblijvend voor je na.