PHP-lek php2shell: wat betekent het voor uw website?

Dit moet u nu doen: stappenplan

1. 1.Ga na of uw website op PHP draait. Gebruikt u WordPress, WooCommerce, Magento, Drupal, Joomla of Shopware, dan is het antwoord ja. Twijfelt u, vraag het uw hoster of webbouwer. Ook een zelfgeschreven site in PHP is kwetsbaar: het lek zit in PHP zelf, niet in een thema of plugin.
2. 2.Vraag uw hoster of ontwikkelaar vandaag nog naar de patchstatus. Stel drie vragen: welke PHP-versie draait mijn site, wanneer installeert u de update, en hebben jullie tot die tijd een tijdelijke maatregel? Beheert u de server niet zelf, dan bent u afhankelijk van uw hoster. Hosters zoals Blacknight voeren al tijdelijke noodmaatregelen door (Blacknight).
3. 3.Update PHP zodra de patch er is. De oplossing zit op de server, niet in uw website. Een update van WordPress of uw plugins lost dit lek niet op (Sansec). Update naar de gepatchte versie zodra die beschikbaar is (zie php.net).
4. 4.Draait u nog een verouderde PHP-versie? Plan een upgrade. Volgens het NCSC komen de updates voor zover bekend alleen voor PHP 8 (NCSC). Welke versies precies een fix krijgen, maakt PHP bekend bij de release (zie php.net). Versies zonder fix blijven kwetsbaar.
5. 5.Kunt u niet snel patchen? Overweeg de site tijdelijk offline te halen. Dat is het advies van CERT-EU voor systemen die niet direct gepatcht kunnen worden (CERT-EU 2026-018). Let op: de onderhoudsmodus van WordPress of Magento helpt niet, omdat PHP het verzoek dan al verwerkt (Sansec). Een webfirewall is een noodoplossing, geen vervanging van de patch.
6. 6.Controleer uw back-ups. Zorg dat er een recente back-up van site en database is, buiten de server zelf opgeslagen, en dat u weet hoe u die terugzet.
7. 7.Houd de komende dagen in de gaten wat er gebeurt. Vraag uw hoster of er ongewone activiteit in de logbestanden staat, controleer of er geen onbekende beheerdersaccounts bij zijn gekomen en volg de berichten van het NCSC.

Wat is er aan de hand met PHP?

Op 20 oktober kondigde het beveiligingsteam van PHP een spoedupdate aan voor twee kritieke kwetsbaarheden, allebei met een CVSS v4.0-score van 9,2 (php.net). De lekken zouden eigenlijk later onder embargo bekend worden gemaakt, maar informatie kwam eerder naar buiten (Tenable). Technische details publiceert PHP pas bij de update.

Wat we wel weten:

• Het gaat om remote code execution. Een aanvaller kan op afstand code uitvoeren op de server. Volgens het NCSC kan dat met een eenvoudig POST-verzoek, en lopen organisaties met PHP op hun webservers "een zeer hoog risico op volledige overname van het systeem" (NCSC).
• Vrijwel alle versies zijn geraakt. Volgens het NCSC en CERT-EU in ieder geval alles vanaf PHP 5 (NCSC, CERT-EU).
• De eerste aanvalspogingen zijn gezien. Cloudflare meldde woensdagochtend de eerste aanvallen en zette noodregels in zijn firewall (Tenable). Het NCSC had woensdagmiddag nog geen actief misbruik gezien (NCSC).
• De patch is aangekondigd voor 16:00 uur Nederlandse tijd (14:00 UTC) (php.net). Update naar de gepatchte versie zodra die beschikbaar is (zie php.net).

PHP is breed gebruikt: volgens W3Techs draait ongeveer 69,3% van de websites waarvan bekend is welke servertaal ze gebruiken op PHP (W3Techs, 21 oktober 2026). Dat betekent niet dat die sites plat liggen: het zegt alleen hoeveel sites PHP gebruiken en dus mogelijk geraakt worden. WordPress alleen al staat op 39,6% van alle websites (W3Techs).

Waarom gingen DigiD, Tweakers en RTL offline?

Uit voorzorg. PHP zelf ligt niet plat: het is een beveiligingslek, geen storing. Omdat er tot de aangekondigde update om 16:00 uur geen oplossing was, kozen organisaties ervoor hun sites tijdelijk uit de lucht te halen, liever dan het risico op een inbraak te lopen.

Volgens de NOS en NRC gingen onder meer DigiD, MijnOverheid, de website van de Tweede Kamer, Tweakers en RTL Nieuws offline (NOS, NRC). RTL meldt op zijn eigen site dat die "tijdelijk niet bereikbaar" is vanwege "een dringende beveiligingsupdate" (rtl.nl). Ook het NCSC haalde zijn eigen website uit voorzorg offline (ncsc.nl).

Het gaat om een reeks grote sites die bewust en tijdelijk uit de lucht zijn gehaald. Het overgrote deel van de PHP-sites is gewoon online, en dus tot de update nog kwetsbaar.

Loopt mijn website risico?

Waarschijnlijk wel, als uw site op PHP draait. Dat geldt voor:

• WordPress- en WooCommerce-sites;
• webshops op Magento (Adobe Commerce), Shopware of PrestaShop;
• sites op Drupal of Joomla;
• maatwerk in PHP, bijvoorbeeld gebouwd met Laravel.

Het lek zit in PHP op de server, niet in uw thema, uw plugins of uw eigen code. Een goed onderhouden WordPress-site met weinig plugins is dus net zo kwetsbaar zolang PHP niet is bijgewerkt.

Weet u niet waarop uw site draait? Vraag het uw hoster of webbouwer. Die kan ook vertellen welke PHP-versie er draait. Op websites die bij een platform zoals Shopify of Wix staan, regelt het platform de server zelf.

Wat moet u nu doen?

Kort samengevat, in volgorde van urgentie:

Instellingen in PHP aanpassen is geen oplossing: een PHP-ontwikkelaar zei daarover dat "alleen patchen of upgraden" helpt (Tenable). Het NCSC waarschuwt dat tijdelijke maatregelen het lek niet wegnemen en zelfs storingen kunnen veroorzaken (NCSC).

Hoe wij websites bouwen, en waarom die vandaag gewoon online zijn

De websites die wij bouwen draaien niet op PHP en zijn vandaag gewoon online. Dit lek raakt ze daarom niet. Wij bouwen maatwerk in code, zonder WordPress en stapels plugins. Dat betekent minder onderdelen die elk apart bijgewerkt moeten worden.

Dat betekent niet dat onze aanpak onkwetsbaar is. Geen enkele stack is immuun: elke website draait op software van anderen, en in elke programmeertaal of elk framework kan een ernstig lek opduiken. Daarom houden ook wij updates scherp in de gaten en voeren we beveiligingsupdates snel door. Een kleiner aanvalsoppervlak verkleint het risico, maar een garantie bestaat niet.

Benieuwd hoe zo'n website op maat er voor uw bedrijf uit kan zien? Of wilt u weten of een overstap zinvol is? Neem contact op.

Les voor de lange termijn: minder afhankelijkheden, minder risico

Een lek als dit kan iedereen overkomen. Wel kunt u ervoor zorgen dat u minder vaak in deze positie zit, en sneller kunt handelen als het gebeurt:

• Weet waarop uw site draait en wie verantwoordelijk is voor updates: u, uw webbouwer of uw hoster. Leg dat vast.
• Blijf op ondersteunde versies. Volgens W3Techs draait ruim een derde van de PHP-sites nog op versie 7 of ouder (W3Techs). Daarvoor komen geen beveiligingsupdates meer. Ook PHP 8.2 krijgt volgens php.net na 31 december 2026 geen beveiligingsupdates meer (php.net).
• Houd het aantal plugins en koppelingen klein. Elk onderdeel is iets dat bijgewerkt moet worden.
• Zorg voor back-ups en monitoring, zodat u bij een probleem snel kunt terugzetten.
• Weeg de echte kosten af. Onderhoud, updates en risico's horen bij de totale kosten van een website of systeem. In maatwerk of een pakket: de echte kosten zetten we dat op een rij.

Veelgestelde vragen

Is PHP nu "plat"?

Nee. Er zijn twee ernstige beveiligingslekken gevonden. Sommige organisaties halen hun sites uit voorzorg offline tot de update is geïnstalleerd.

Is mijn WordPress-site kwetsbaar?

Waarschijnlijk wel, tot PHP op de server is bijgewerkt. WordPress draait op PHP, en het lek zit in PHP zelf.

Welke PHP-versie heb ik nodig?

Update naar de gepatchte versie zodra die beschikbaar is (zie php.net). Vraag uw hoster welke versie uw site nu gebruikt.

Helpt een WordPress- of plugin-update?

Niet tegen dit lek. De oplossing zit in PHP op de server. Plugins bijwerken blijft wel verstandig.

Draait fastsoftware.nl op PHP?

Nee. Onze website draait niet op PHP en is vandaag gewoon online.

Moet ik mijn site offline halen?

Alleen als u niet snel kunt patchen. CERT-EU adviseert dan om sites die vanaf internet bereikbaar zijn tijdelijk af te schermen. Het NCSC adviseert per systeem een risicoafweging te maken.

Bronnen

• php.net, "Upcoming Critical PHP Security Release", 20-10-2026: https://www.php.net/archive/2026.php#2026-10-20-1
• php.net, Supported Versions: https://www.php.net/supported-versions.php
• NCSC, websitebericht "Ernstige kwetsbaarheden in PHP: bereid je voor op patchen", 21-10-2026: https://advisories.ncsc.nl/
• CERT-EU, Security Advisory 2026-018 "Critical Vulnerabilities in PHP": https://cert.europa.eu/publications/security-advisories/2026-018
• Tenable, php2shell FAQ, 21-10-2026: https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
• Sansec, php2shell: https://sansec.io/research/php2shell
• Blacknight, "Emergency patching for critical PHP security vulnerability", 21-10-2026: https://blacknight.tech/emergency-patching-for-critical-php-security-vulnerability/
• W3Techs, PHP: https://w3techs.com/technologies/details/pl-php · WordPress: https://w3techs.com/technologies/details/cm-wordpress
• NOS, 21-10-2026: https://nos.nl/artikel/2636055-websites-van-overheid-en-in-onderwijs-offline-vanwege-lek-risico-op-hacks
• NRC liveblog, 21-10-2026: https://www.nrc.nl/nieuws/2026/10/21/php-lek-a4939463

Ryan Koning

Oprichter van Fast Software. Schrijft over AI en software zoals hij offertes schrijft: zonder omwegen en met de uitzonderingen erbij.

Over RyanLinkedIn