PHP-lek (php2shell): wat moet je als ondernemer doen?

Het gaat om twee kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. Wie ze combineert, kan op afstand en zonder in te loggen eigen code laten draaien op de server van een website. Dat heet remote code execution, de zwaarste categorie die bestaat. De lekken kregen een CVSS v4-score van 9,2 op 10, volgens Tenable.

Voor jou als ondernemer betekent dat: wie binnen is, kan je site aanpassen, klantgegevens uit je database halen, je webshop laten doorverwijzen naar een valse betaalpagina of je server gebruiken om spam te versturen. Het lek zit niet in een plug-in of thema, maar in PHP zelf. Daarom is het zo breed.

Waarschijnlijk wel, als je website op PHP draait en nog niet bijgewerkt is. Volgens Help Net Security zijn alle PHP-versies vanaf versie 5 getroffen. Dat omvat:

• elke WordPress-site en WooCommerce-webshop;
• sites op Joomla, Drupal, PrestaShop, Magento en de meeste klassieke CMS'en;
• veel maatwerk op Laravel of Symfony.

Niet getroffen zijn sites die volledig op iets anders draaien, zoals Shopify, Wix, Squarespace of een statische site. Twijfel je, dan kun je het in tien seconden nakijken met de gratis PHP-check van Marketing Scan. Die doet één gewone aanvraag naar je homepage en probeert het lek nooit uit.

Drie stappen, in deze volgorde:

1. Stuur je webbouwer of hoster een bericht. Vraag letterlijk: "Draait onze site op PHP, en is die al bijgewerkt naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12?"
2. Vraag een bevestiging met de versie erbij. "We kijken ernaar" is geen antwoord. Je wilt het versienummer zien.
3. Draait je site op PHP 8.1 of ouder? Dan komt er geen beveiligingsupdate. Plan een upgrade naar minstens 8.2, en vraag of de site tot dan beschermd kan worden met een firewallregel.

Werk je op gedeelde hosting bij een grote Belgische of Nederlandse hoster, dan regelt die de PHP-update meestal centraal. Vraag het toch na: je wilt het zwart op wit.

Op 21 oktober meldde het Centrum voor Cybersecurity België (CCB) nog geen geslaagde aanvallen in België. Cloudflare zag wel al de eerste pogingen en zette extra firewallregels in, zo meldt VRT NWS. Ook in Nederland gingen sites uit voorzorg uit de lucht, zie het liveblog van de NOS.

De ervaring met eerdere lekken van deze omvang is dat aanvallers binnen enkele dagen automatisch het hele internet afscannen. Wie wacht tot er nieuws is over aanvallen, is vaak te laat.

Gedeeltelijk. Een webfirewall kan bekende aanvalspatronen tegenhouden, en dat koopt tijd. Maar Patchstack en Cloudflare zijn het eens: bijwerken is de enige volledige oplossing. Aanvallers passen hun aanvallen aan om firewallregels te omzeilen.

Zie een firewall dus als een tijdelijke deur op slot, niet als de reparatie. Gebruik je al Cloudflare, dan staan die regels voor jou waarschijnlijk aan. Vraag je webbouwer om dat te bevestigen, en laat de update hoe dan ook gebeuren.

Voor de meeste kleine bedrijven niet, op voorwaarde dat de update vandaag of morgen gebeurt. Grote organisaties met gevoelige gegevens, zoals scholen en ziekenhuizen, kozen voor offline gaan omdat ze honderden systemen moeten nakijken.

Verwerk je via je site gevoelige gegevens (betalingen buiten een externe betaalprovider, medische of juridische info) en kan je webbouwer pas over meerdere dagen updaten, dan is tijdelijk offline gaan of de site in onderhoudsmodus zetten wel een redelijke keuze.