Het PHP-lek: wat er gebeurde en waar we nu staan

Wat is er aan de hand?

PHP is de techniek waar de meeste websites op draaien, ook WordPress en WooCommerce. Zie het als de motor onder de motorkap van je website.

Op 20 oktober maakte het PHP-team bekend dat er twee ernstige fouten in het systeem ontdekt waren. Met één speciaal opgesteld verzoek kon een aanvaller opdrachten geven op de server. Zonder wachtwoord en zonder in te loggen. Vergelijk het met een slot dat met een simpel trucje opengaat: wie de truc kent, loopt zo naar binnen.

Zo kon een aanvaller bijvoorbeeld:

• websites aanpassen of plat leggen;
• gegevens inzien, zoals klantgegevens uit een webshop;
• schadelijke software op de server zetten.

Het lek zat in PHP zelf. Een update van WordPress, je thema of je plugins hielp dus niet. Alleen een nieuwe, veilige PHP-versie lost het op.

We hebben op dit moment geen reden om aan te nemen dat het lek bij ons is misbruikt.

Het gaat om CVE-2026-109618 en CVE-2026-109619, ook bekend als php2shell. Opgelost in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12.

Waarom we je diensten tijdelijk offline haalden

Toen het lek bekend werd, was er nog geen oplossing. Extra beveiligingsregels konden het risico verkleinen, maar niet wegnemen. Ondertussen gingen er al details over het lek rond. Het risico werd wereldwijd als zeer hoog gezien.

We wilden jou en je gegevens beschermen. Ook als je zelf weinig van techniek weet, of op vakantie was en het nieuws niet volgde. Daarom hebben we uit voorzorg onze shared hosting, een deel van de VPS-hosting en onze webmail tijdelijk offline gehaald.

We begrijpen goed dat het vervelend is als je website of e-mail een tijd niet bereikbaar is. Zeker als je er je brood mee verdient. Toch twijfelden we niet over wat voorop stond. Een tijd offline zijn is vervelend. Een inbraak in je website of het lekken van klantgegevens is veel erger. Als hostingpartij hebben we een zorgplicht naar jou, en die nemen we heel serieus.

Onze aanpak: eerst veilig, dan weer online

Zodra de officiële PHP-update van onze leveranciers beschikbaar was, zijn we direct aan de slag gegaan. Samen met hen hebben we de update getest en extra beveiligingsmaatregelen doorgevoerd op onze platformen. Pas daarna zetten we diensten weer online.

Onze mensen hebben dag en nacht doorgewerkt. Veel klanten waren donderdagochtend 22 oktober weer online, het merendeel in de loop van die middag.

Waar staan we nu?

Het lek zelf is gedicht: PHP is op onze hosting en managed servers bijgewerkt. De meeste websites en mailboxen werken weer.

Het is erg druk bij onze klantenservice

Veel klanten nemen nu tegelijk contact met ons op. Daardoor moet je helaas langer wachten dan je van ons gewend bent. Onze excuses daarvoor. We helpen iedereen zo snel mogelijk, in volgorde van binnenkomst.

Zo help je jezelf én ons:

• Check eerst de tips hieronder bij ‘Werkt je website anders dan voorheen?’. Vaak los je het daarmee zelf op.
• Kijk op onze statuspagina voor de laatste stand van zaken: https://status.versio.nl/
• Lukt het niet? Neem contact op via https://www.versio.nl/contact/. Stuur liever één bericht met je domeinnaam en een korte omschrijving dan meerdere berichten. Dan helpen we je sneller.
• We zijn bereikbaar van maandag tot en met vrijdag van 9.00 tot 17.00 uur.

Je hoeft zelf niets te doen om je te beschermen tegen het lek. Heb je een VPS waarop je PHP zelf beheert? Werk PHP dan zo snel mogelijk bij naar een veilige versie.

Werkt je website anders dan voorheen?

Om je website te beschermen, hebben we op veel websites de PHP-versie bijgewerkt naar een nieuwere, veilige versie. Voor de meeste websites verandert er daardoor niets.

Gebruikt je website verouderde onderdelen, zoals een oud thema of oude plugins? Dan kan het zijn dat iets niet meer werkt zoals voorheen. Je ziet dan bijvoorbeeld een witte pagina, een foutmelding of een onderdeel dat niet laadt. Die oude onderdelen zijn niet geschikt voor de nieuwere PHP-versie.

In dit kennisbank artikel lees je hoe je het zelf oplost als je website sinds de update niet meer goed werkt.

Tot slot

Bedankt voor je geduld en begrip. We blijven doorwerken tot alles weer werkt zoals je van ons gewend bent. Zodra er iets verandert, lees je het hier.