Een ernstig lek in PHP: wat betekent het voor je website?

Deze week kregen wij mails van zowat elke hostingpartij waar we mee werken. Ook enkele klanten stuurden ons een waarschuwing door met de vraag of hun website in gevaar is. Het korte antwoord: misschien wel, en het is iets om nu op te volgen en niet volgende maand.

Wat er aan de hand is

Op 21 oktober 2026 maakten de ontwikkelaars van PHP twee ernstige beveiligingslekken bekend. Ze staan geregistreerd als CVE-2026-109618 en CVE-2026-109619.

PHP is de programmeertaal achter een groot deel van het internet. WordPress draait erop, net als Drupal, Joomla, Laravel en heel wat webshops en klantenportalen. Merk je er als gebruiker niets van, dan draait het waarschijnlijk toch ergens op de achtergrond.

Via de twee lekken kan een aanvaller van buitenaf eigen code uitvoeren op de server. Lukt dat, dan heeft hij in het slechtste geval de volledige server in handen. Denk aan een website die ongemerkt wordt aangepast, formulieren die gegevens doorsturen naar iemand anders, of een server die spam begint te versturen.

Wat het extra dringend maakt: de code om het lek te misbruiken is al publiek. Iedereen kan ermee aan de slag.

Is jouw website getroffen?

Elke versie van PHP vanaf PHP 5 is kwetsbaar. Draait je website op PHP, dan is ze dus getroffen tot de server bijgewerkt is.

De ontwikkelaars brachten een veilige versie uit voor de versies die nog ondersteund worden:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Draait je server op PHP 8.1 of ouder, dan komt er geen herstelling. Die versies worden niet meer onderhouden. De enige oplossing is overstappen naar een nieuwere versie, en dat vraagt soms ook aanpassingen aan de website zelf. Een oude plugin of een zelfgemaakt stuk code werkt niet altijd zomaar op een recente PHP.

Wie moet er iets doen?

Dat hangt af van hoe je website gehost wordt.

Gedeelde hosting of beheerde hosting. Bij de meeste grote hostingbedrijven werkt de provider PHP zelf bij. Kijk toch in het controlepaneel welke PHP-versie je website gebruikt. Staat daar 8.1 of lager, dan zet je hem best op een nieuwere versie, of je vraagt het aan wie je website bouwde.

Een eigen server of cloudserver. Dan ben je zelf verantwoordelijk. Hetzner en DigitalOcean lieten hun klanten dat deze week uitdrukkelijk weten: zij werken jouw server niet bij, dat moet jij doen.

Je weet het niet. Dat komt vaker voor dan je denkt, zeker als de website jaren geleden gebouwd werd door iemand die er niet meer bij is. Begin dan met de vraag wie de hosting betaalt. Op die factuur staat bij wie je moet zijn.

Wat je deze week nakijkt

1. Welke websites en tools van je praktijk of bedrijf draaien op PHP? Vergeet het afsprakenformulier, het intranet of die oude subsite niet.
2. Op welke PHP-versie draaien ze, en is die bijgewerkt naar een veilige versie uit het lijstje hierboven?
3. Is er een versie van 8.1 of ouder bij? Plan dan meteen de overstap.
4. Werk ook WordPress, het thema en de plugins bij. Dat staat los van PHP, maar een inbreker kiest de makkelijkste deur.
5. Hou de komende weken een oog op vreemde dingen: pagina's die je niet kent, nieuwe gebruikers in het beheer van je website, of klachten dat er spam van je adres komt.

Waarom dit voor zorgverleners zwaarder weegt

Een website in de zorg is vaak meer dan een visitekaartje. Er hangt een contactformulier aan, een link naar de agenda of een vragenlijst voor nieuwe patiënten. Wie de server overneemt, kan meelezen met wat mensen daar invullen. Dan heb je meteen een datalek en een meldingsplicht.

We schreven eerder al over WordPress in de zorg en de risico's van plugins. Dit lek zit een laag dieper, in de taal waarop alles draait. Het principe blijft hetzelfde. Software die niemand bijhoudt, wordt vroeg of laat een probleem.

Hulp nodig?

Twijfel je of je website veilig draait, of weet je niet waar je moet beginnen? Stuur ons de link van je website. We kijken met je mee welke PHP-versie erachter zit en wat er moet gebeuren.