Beveiligingslek in PHP: wat wij hebben gedaan en wat jij kunt doen

Op 20 oktober 2026 werden twee ernstige beveiligingslekken bekend in PHP, de programmeertaal waar het grootste deel van alle websites op draait, waaronder WordPress. Het lek zat in PHP zelf en raakte websites bij hostingpartijen over de hele wereld.

Wij hebben het lek op al onze hostingplatformen gedicht, zowel op Linux als op Windows. Je website is dus weer beveiligd. In dit artikel lees je wat we hebben gedaan en hoe je het zelf oplost als je website sinds de update niet meer goed werkt.

In het kort

• Het lek is gedicht op al onze hostingplatformen. Daarvoor hoef je zelf niets te doen.

• Linux-hosting: we hebben je huidige PHP-versie bijgewerkt met de beveiligingsupdate. Je bent dus niet overgezet naar de nieuwste PHP-versie, en je website werkt zoals je gewend bent.

• Windows-hosting: we hebben het lek gedicht door je website over te zetten naar een nieuwere PHP-versie. Je website is veilig, maar een verouderd thema of verouderde plugin werkt daar mogelijk niet meer mee. Dat los je op door die onderdelen bij te werken.

Let op: er gaan nepmails rond over dit PHP-lek

Oplichters sturen e-mails waarin ze vragen om in te loggen op je webmail vanwege de PHP-kwetsbaarheden. Die e-mails komen niet van ons. Klik niet op de link en vul nergens je gegevens in. Verderop in dit artikel lees je hoe je zo’n nepmail herkent en wat je doet als je er al op hebt geklikt.

Wat is er gebeurd?

Op 20 oktober maakten onderzoekers twee beveiligingslekken in PHP bekend: CVE-2026-109618 en CVE-2026-109619, ook wel php2shell genoemd. Via deze lekken konden kwaadwillenden in het ergste geval hun eigen code uitvoeren op een server en zo toegang krijgen tot websites, bestanden en gegevens.

Alle PHP-versies van vóór 8.5.12, 8.4.27, 8.3.36 en 8.2.35 waren kwetsbaar. Op 21 oktober bracht het PHP-team de officiële beveiligingsupdate uit. Omdat het lek in PHP zelf zat, hebben wij het op onze servers gedicht. Je hoefde daarvoor niets aan je eigen website te veranderen.

Wat hebben wij gedaan?

Zodra de beveiligingsupdate beschikbaar was, hebben we die op al onze hostingservers doorgevoerd. Hoe we dat hebben gedaan, verschilt per platform.

Linux-hosting: je huidige PHP-versie is bijgewerkt

Het grootste deel van de websites bij ons draait op Linux-servers. Daar hebben we je niet overgezet naar de nieuwste PHP-versie, maar je huidige versie bijgewerkt met de beveiligingsupdate. Gebruikte je PHP 8.3, dan gebruik je nu nog steeds PHP 8.3.

Windows-hosting: het lek is gedicht met een nieuwere PHP-versie

Op ons Windows-platform hebben we het lek gedicht door alle websites over te zetten naar een nieuwere PHP-versie. Je website is daarmee net zo goed beveiligd als op Linux.

Het verschil is dat niet alle software al geschikt is voor die nieuwere versie. Gebruikt je website een verouderd thema, een plugin die lang geen update heeft gehad of een oude versie van je CMS? Dan zie je mogelijk een witte pagina, de melding ‘Er is een kritieke fout opgetreden op deze website’ of een foutmelding met ‘Fatal error’. Hieronder lees je hoe je dat oplost.

Op welk platform draait mijn website?

Dat zie je in je klantomgeving bij de gegevens van je hostingpakket.

Let op: nepmails over het PHP-lek

Oplichters maken misbruik van het nieuws over dit lek. Ze sturen e-mails die lijken te komen van je hostingpartij en vragen je om in te loggen op je webmail. Wie dat doet, geeft zijn wachtwoord aan de oplichters.

Voor dit lek hoef je niets te doen. Wij vragen je dus niet om in te loggen op je webmail of je instellingen te controleren. Krijg je een e-mail waarin dat wel staat, dan is het een nepmail.

Zo herken je de nepmail

De nepmail kan er heel echt uitzien, met een logo, nette kleuren en een duidelijke knop. Aan het uiterlijk herken je hem dus niet. Let daarom op wat er in de e-mail staat:

• De e-mail gaat over een ‘beveiligingskwestie’ in de hostingomgeving en over PHP-kwetsbaarheden.
• Je moet inloggen op je webmail om ‘je instellingen te controleren’ of ‘beveiligingsmaatregelen’ door te voeren.
• De tekst wisselt tussen ‘je’ en ‘alstublieft’ en bevat kleine taalfouten.

Twijfel je over een e-mail? Ga met je muis over de link zonder te klikken en bekijk naar welk adres hij leidt. Of klik helemaal niet en ga zelf naar onze website om in te loggen.

• Ik heb op de link geklikt, maar niets ingevuld

  Dan is er meestal niets aan de hand. Sluit de pagina en verwijder de e-mail. Zorg voor de zekerheid dat de virusscanner op je computer of telefoon is bijgewerkt.

• Ik heb mijn gegevens ingevuld

  1. Wijzig direct het wachtwoord van je e-mailadres.
  2. Gebruik je hetzelfde wachtwoord ook ergens anders? Wijzig het daar ook.
  3. Controleer in je webmail of er doorstuurregels of automatische antwoorden staan die je zelf niet hebt ingesteld. Oplichters gebruiken die om je e-mail mee te lezen. Verwijder ze als je ze tegenkomt.
  4. Merk je dat er vanaf je e-mailadres berichten zijn verstuurd die niet van jou zijn? Neem dan contact met ons op.
  

• Ik wil de nepmail melden

  Stuur de e-mail als bijlage door naar ons meldadres. Daarna kun je hem verwijderen.

Werkt je website niet meer? Zo los je het op

Werkt je website sinds de update niet meer goed, dan is meestal een thema, plugin of ander onderdeel niet geschikt voor de nieuwere PHP-versie. Dit komt vooral voor bij websites op ons Windows-platform. Met de stappen hieronder vind je in de meeste gevallen zelf de oorzaak.

Maak eerst een back-up

Maak een back-up van je website en database voordat je iets bijwerkt of uitschakelt. Gaat er iets mis, dan kun je altijd terug.

• WordPress

  Stap 1: Werk alles bij via je dashboard
  1. Log in op je WordPress-dashboard via jouwdomein.nl/wp-admin.
  2. Ga naar ‘Dashboard’ en klik op ‘Updates’.
  3. Werk eerst WordPress zelf bij, daarna je plugins en tot slot je thema’s.
  4. Controleer of je website weer werkt.

  Zie je de melding ‘Er is een kritieke fout opgetreden op deze website’? Kijk dan in de mailbox van het beheerdersadres van je website. WordPress stuurt daar een e-mail met een speciale inloglink, waarmee je kunt inloggen en de plugin of het thema met de fout kunt uitschakelen.

  Stap 2: Kom je niet in je dashboard? Zet je plugins uit via FTP
  1. Maak verbinding met je hostingpakket via FTP, bijvoorbeeld met FileZilla.
  2. Open de map wp-content.
  3. Wijzig de naam van de map plugins in plugins-uit. Al je plugins staan nu uit.
  4. Werkt je website weer? Dan zit het probleem in een plugin. Zet de mapnaam terug naar plugins, log in op je dashboard en activeer je plugins één voor één. Zo vind je welke plugin de fout veroorzaakt.
  5. Werk die plugin bij. Krijgt hij geen updates meer? Vervang hem dan door een alternatief.

  Stap 3: Werkt het nog steeds niet? Controleer je thema
  1. Open via FTP de map wp-content/themes.
  2. Zet -uit achter de mapnaam van je actieve thema.
  3. WordPress schakelt nu over op een standaardthema, zoals Twenty Twenty-Five, als dat in de map staat.
  4. Werkt je website weer? Download dan de nieuwste versie van je thema bij de maker en installeer die.
  Gebruik je een betaald thema of een betaalde plugin? Die krijgen niet altijd automatisch updates via je dashboard. Download de nieuwste versie dan op de website van de maker.

  Stap 4: Zoek uit waar de foutmelding zit
  Weet je nog steeds niet welk onderdeel de fout veroorzaakt? Zet dan de foutmodus van WordPress aan. Je website laat dan precies zien in welk bestand de fout zit.
  1. Open via FTP het bestand wp-config.php in de hoofdmap van je website.
  2. Zoek de regel define( ‘WP_DEBUG’, false ); en vervang die door de code hieronder. Staat de regel er niet? Plak de code dan boven de regel die begint met /* That’s all, stop editing!
  3. Sla het bestand op en zet het terug op je hostingpakket.
  4. Open je website. Je ziet nu een foutmelding met een bestandslocatie, bijvoorbeeld /wp-content/plugins/naam-van-de-plugin/… of /wp-content/themes/naam-van-het-thema/…. De mapnaam achter plugins of themes vertelt je welke plugin of welk thema de fout veroorzaakt.
  5. Werk die plugin of dat thema bij of vervang het, zoals beschreven in stap 2 en 3.
  6. Zet de foutmodus daarna weer uit door true terug te veranderen in false.

  De code voor stap 2:
  // Enable WP_DEBUG mode
  define( ‘WP_DEBUG’, true );

  Let op: zolang de foutmodus aanstaat, zien ook bezoekers van je website de foutmelding. Zet hem dus uit zodra je weet waar de fout zit.

  Heb je een webshop of wil je liever niet dat bezoekers de foutmelding zien? Gebruik dan deze code in plaats van de code hierboven. De foutmelding komt dan niet op je website te staan, maar in het bestand wp-content/debug.log. Verwijder dat bestand als je klaar bent.

  // Enable WP_DEBUG mode
  define( ‘WP_DEBUG’, true );

  // Enable debug logging to /wp-content/debug.log
  define( ‘WP_DEBUG_LOG’, true );

  // Hide errors on the website
  define( ‘WP_DEBUG_DISPLAY’, false );
  

• Joomla, Drupal, PrestaShop of een ander CMS

  1. Log in op de beheeromgeving van je website.
  2. Werk het CMS zelf bij naar de nieuwste versie.
  3. Werk daarna je extensies, modules en templates bij.
  4. Controleer op de website van de maker of jouw versie geschikt is voor de PHP-versie waar je website nu op draait.
  Gebruik je een versie van je CMS die niet meer wordt ondersteund? Dan is vaak een grotere upgrade nodig. Dat is meestal werk voor een webbouwer.
  

• Een website die door een webbouwer is gemaakt

  Neem contact op met je webbouwer. Geef door dat je website op ons Windows-platform draait, dat PHP is bijgewerkt naar een nieuwere versie en welke foutmelding je ziet. Dan weet je webbouwer welke onderdelen aangepast moeten worden.

Waar je op moet letten

• Ik wil mijn PHP-versie terugzetten naar de oude versie

  Kun je in je controlepaneel nog een oudere PHP-versie kiezen? Gebruik dat liever niet als oplossing. Je website werkt dan misschien weer, maar draait op verouderde software. Werk liever de onderdelen van je website bij, zodat ze geschikt zijn voor de nieuwe PHP-versie.

• Mijn website werkt, maar ik zie waarschuwingen

  Zie je meldingen als ‘Deprecated’ of ‘Warning’ op je website of in je foutlogboek? Je website werkt dan nog, maar een onderdeel gebruikt verouderde code. Werk dat onderdeel binnenkort bij, want bij een volgende PHP-update kan het alsnog stoppen.

• Ik heb een VPS of eigen server

  Beheer je PHP zelf op je server? Dan hebben wij de update niet voor je kunnen doorvoeren. Werk PHP zo snel mogelijk bij naar versie 8.5.12, 8.4.27, 8.3.36 of 8.2.35 of nieuwer.

Veelgestelde vragen

• Moet ik zelf iets doen?

  Voor de beveiliging niet: wij hebben het lek op alle platformen gedicht. Draait je website op Linux-hosting, dan hoef je verder niets te doen. Draait je website op Windows-hosting, controleer dan of hij nog goed werkt. Werkt hij niet meer, volg dan de stappen onder ‘Werkt je website niet meer? Zo los je het op’. Krijg je een e-mail waarin je wordt gevraagd in te loggen op je webmail? Dat is een nepmail.

• Moet ik overstappen naar de nieuwste PHP-versie om veilig te zijn?

  Nee. Op onze Linux-servers hebben we je huidige PHP-versie bijgewerkt met de beveiligingsupdate, en daarmee is het lek gedicht. Gebruik je PHP 8.2 of hoger, dan is alleen het laatste cijfer van je versienummer misschien iets hoger geworden. Overstappen naar de nieuwste versie mag natuurlijk wel, maar is voor dit lek niet nodig.

• Mijn versienummer is niet veranderd. Is mijn website wel veilig?

  Ja. Gebruik je PHP 8.1 of ouder, dan hebben we de reparatie ingebouwd in je bestaande versie, en daarom blijft het versienummer gelijk. Meldt een beveiligingsplugin of scan dat je PHP-versie kwetsbaar is? Die kijkt alleen naar het versienummer en ziet niet dat de reparatie al is ingebouwd. Wil je het zelf controleren? In de PHP-informatie van je website (phpinfo) staat bij ‘Build Date’ een datum van 21 oktober 2026 of later.

• Mijn website werkt niet meer sinds de update

  Je website is wel beveiligd, maar een thema, plugin of ander onderdeel is waarschijnlijk niet geschikt voor de nieuwere PHP-versie. Volg de stappen onder ‘Werkt je website niet meer? Zo los je het op’. In de meeste gevallen is het probleem opgelost als je het onderdeel bijwerkt of vervangt. Heeft een webbouwer je website gemaakt? Schakel die dan in.

• Ik gebruik een oude PHP-versie, zoals 7.4 of 8.1. Ben ik ook beschermd?

  Ja. Het PHP-team brengt voor versies ouder dan 8.2 zelf geen updates meer uit, maar wij hebben de reparatie op onze Linux-servers toch in deze versies ingebouwd. Je hoeft dus niet halsoverkop over te stappen. Toch is upgraden binnenkort verstandig: oudere versies krijgen geen officiële beveiligingsupdates meer, en voor PHP 8.2 stopt dat op 31 december 2026. Controleer vóór het upgraden of je thema en plugins geschikt zijn voor de nieuwe versie.

• Moet ik WordPress, mijn thema en plugins bijwerken om veilig te zijn?

  Niet voor dit lek: dat hebben wij op de server gedicht. Op ons Windows-platform kan bijwerken wel nodig zijn om je website goed te laten werken op de nieuwere PHP-versie. En los daarvan is bijwerken altijd verstandig, want verouderde plugins zijn een van de meest voorkomende oorzaken van gehackte websites.

• Is mijn website gehackt of zijn mijn gegevens gelekt?

  We hebben geen aanwijzingen dat websites bij ons via dit lek zijn misbruikt. Zie je toch iets vreemds, zoals onbekende beheerders in je website, doorverwijzingen naar andere websites of bestanden die je niet kent? Wijzig dan je wachtwoorden en neem contact met ons op.