PHP-lek oktober 2026: is je WordPress-website veilig?

Kort antwoord: Op 21 oktober 2026 zijn twee ernstige beveiligingslekken in PHP bekendgemaakt: CVE-2026-109618 en CVE-2026-109619. Gebruik je WordPress of een andere PHP-website? Controleer dan of je hostingpartij de beveiligingspatches heeft toegepast. Een WordPress-update alleen verhelpt deze PHP-lekken niet.

Verschillende organisaties hebben websites tijdelijk offline gehaald vanwege deze kwetsbaarheden. Dat betekent niet dat die websites allemaal zijn gehackt: sommige zijn juist preventief afgeschermd.

Ook voor een zzp'er, kleine webshop of administratiekantoor is dit een goede aanleiding voor één praktische vraag: wie beheert de techniek achter jouw website, en weet diegene zeker dat PHP is bijgewerkt?

Wat is er aan de hand met PHP?

PHP is een programmeertaal die op webservers draait. WordPress gebruikt PHP om onder meer pagina's, contactformulieren, accounts en webshopfuncties te verwerken.

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor twee kritieke kwetsbaarheden:

• CVE-2026-109618: een probleem bij de verwerking van een situatie waarin het geheugen opraakt.
• CVE-2026-109619: een probleem waarbij interne informatie uit een eerder verzoek onterecht opnieuw kan worden gebruikt.

Beide kwetsbaarheden kunnen onder bepaalde omstandigheden zonder inloggegevens worden misbruikt om code op de server uit te voeren (remote code execution). Het NCSC adviseert de beveiligingsupdates met spoed toe te passen.

Een normale websiteweergave bewijst niet dat je server veilig is. Het probleem zit achter de schermen.

Is mijn WordPress-website ook kwetsbaar?

Niet iedere WordPress-website is op dit moment nog kwetsbaar. Dat hangt vooral af van de daadwerkelijke PHP-installatie en de beveiligingspatches bij je hostingprovider.

Er zijn drie veelvoorkomende situaties:

1. Je hosting is bijgewerkt. Je hostingpartij heeft de relevante PHP-patches al uitgevoerd, eventueel via beveiligingsupdates voor het gebruikte besturingssysteem.
2. Je server gebruikt nog kwetsbare software. Dan moet de beheerder controleren welke patch of upgrade nodig is.
3. Het beheer is onduidelijk. Je website is ooit gemaakt door een webbouwer, maar je weet niet meer wie hosting, PHP en beveiligingsupdates verzorgt.

Met name in situatie 3 is het verstandig het beheer eerst helder te krijgen, voordat je zomaar instellingen verandert.

Zelf je PHP-versie controleren in WordPress

Dit kun je meestal zelf nakijken:

1. Log in op je WordPress-dashboard.
2. Ga naar Gereedschap → Sitediagnose (in een Engelstalig dashboard: Tools → Site Health).
3. Open Info.
4. Klap Server open.
5. Zoek PHP-versie.

Zie je deze optie niet, kijk dan in het controlepaneel van je hostingprovider. Je kunt ook rechtstreeks aan je hostingpartij vragen welke PHP-versie draait en of de beveiligingsupdates zijn uitgevoerd.

Welke PHP-versies zijn op 21 oktober 2026 gepatcht?

PHP-tak	Release met beveiligingspatch
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

De versies zijn bevestigd door het NCSC en het PHP-project.

Let op: niet iedere veilige server laat exact zo'n versienummer zien. Linux-distributies en hostingproviders kunnen beveiligingsupdates backporten, waardoor het zichtbare versienummer gelijk blijft. Vraag je hostingpartij daarom niet alleen welke PHP-versie draait, maar ook of beide CVE's daadwerkelijk verholpen zijn.

PHP 8.1 en ouder krijgen geen reguliere beveiligingsupdates meer van het PHP-project. Voor sommige oudere versies zijn vanwege de ernst minimale broncodepatches beschikbaar gesteld, maar die vervangen geen structureel upgradeplan. Ook PHP 8.2 bereikt eind december 2026 het einde van zijn reguliere ondersteuning.

Is mijn website veilig als alles gewoon werkt?

Niet per se. Een PHP-kwetsbaarheid hoeft geen zichtbare foutmelding te geven.

Een groen slotje in de browser bewijst evenmin dat je PHP-installatie gepatcht is. Het slotje zegt iets over de beveiligde verbinding (HTTPS), niet over de veiligheid van de software op de server.

Omgekeerd betekent een verouderd versienummer niet automatisch dat je website is gehackt. Het is vooral reden om de update- en patchstatus te controleren.

Wat moet je nu doen? Vijf verstandige stappen

1. Zoek uit wie je website technisch beheert

WordPress zelf, je domeinregistratie en webhosting zijn verschillende zaken. Zoek je hostingfactuur of vraag je websitebouwer wie de serverupdates uitvoert.

2. Vraag je hostingpartij expliciet naar de twee CVE's

Je kunt dit bericht gebruiken:

Goedemiddag, ik wil graag controleren of onze website beschermd is tegen CVE-2026-109618 en CVE-2026-109619. Is de PHP-installatie op onze hostingomgeving inmiddels gepatcht? Zo ja, kunt u bevestigen welke update of leverancierspatch is toegepast?

Een bevestiging van de provider is vaak nuttiger dan zelf experimenteren met serverinstellingen.

3. Maak een back-up voordat je gaat upgraden

Een hogere PHP-versie kan invloed hebben op oudere WordPress-plugins, thema's en webshopkoppelingen. Zorg voor een bruikbare back-up en test na de wijziging bijvoorbeeld contactformulieren, inloggen en het bestelproces.

4. Kijk of er aanwijzingen zijn voor misbruik

Let op onbekende beheerdersaccounts, onverwachte wijzigingen, vreemde redirects, niet-herkende bestanden of waarschuwingen van je hostingprovider. Zulke signalen kunnen op een incident wijzen, maar bewijzen niet dat juist deze kwetsbaarheden zijn misbruikt.

5. Schakel hulp in als niemand het beheer kan bevestigen

Een hostingprovider kan de juiste updates vaak zelf uitvoeren. Maar als de oorspronkelijke webbouwer verdwenen is, inloggegevens ontbreken of je niet weet wat veilig aangepast kan worden, is een onafhankelijke technische controle zinvol.

Moet mijn website tijdelijk offline?

Niet automatisch. Dat hangt af van je kwetsbaarheid, bereikbaarheid vanaf internet en de mogelijkheid om direct te patchen.

Kan een kwetsbare, publiek bereikbare PHP-installatie niet tijdig worden bijgewerkt? Dan kan tijdelijk afschermen of uitschakelen verstandig zijn. Het NCSC en WordPress wijzen nadrukkelijk op dit risico. Stem de juiste maatregel af met de server- of hostingbeheerder.

Een firewallregel of tijdelijke beperking kan bepaalde aanvalspaden blokkeren, maar is geen volledige vervanging voor de beveiligingsupdate.

Kunnen we je helpen met de PHP- en hostingcontrole?

Heb je een zakelijke website of WordPress-webshop, maar geen vaste technische beheerder? InstantIT helpt zelfstandigen en kleine bedrijven duidelijkheid te krijgen over de hosting- en beveiligingssituatie.

Wat we kunnen doen, hangt af van de toegang en het type hosting. Denk aan:

• De gebruikte PHP-versie en beschikbare hostinginformatie controleren.
• De patchstatus met de hostingprovider verifiëren.
• Hostingtoegang, verantwoordelijkheden en back-ups in kaart brengen.
• Veilig vervolg bespreken als updates ontbreken of de website niet goed functioneert.
• Bij aanwijzingen voor een incident eerst bepalen welke schadebeperking en eventuele specialistische hulp nodig zijn.

We verkopen je geen uitgebreide incidentaanpak wanneer de hostingprovider alleen maar een update hoeft te bevestigen. Blijkt er meer nodig, dan bespreken we eerst de scope en kosten.

Vraag InstantIT om hulp bij je website of hosting →

InstantIT werkt vanuit Den Haag en helpt ondernemers in Haaglanden en omgeving. Veel controles en begeleiding kunnen ook op afstand plaatsvinden, in heel Nederland.

Is je website daadwerkelijk gehackt of zie je verdachte wijzigingen? Bekijk dan onze hulp bij een gehackte website of WordPress-site.

Officiële bronnen

• NCSC: NCSC-2026-0443, kwetsbaarheden verholpen in PHP (21 oktober 2026)
• PHP: officiële beveiligingsupdates en advisories
• WordPress: Critical PHP Security Release (21 oktober 2026)

Dit artikel beschrijft de stand van zaken op 21 oktober 2026. Het controleren van een PHP-versie is geen volledige beveiligingsaudit en bevestigt op zichzelf niet of er misbruik heeft plaatsgevonden.