21 oktober 2026 · 4 min leestijd · Marketing Scan
Kort antwoord: de PHP-versie van je website vind je in het controlepaneel van je hoster, in WordPress onder Extra > Sitestatus > Info > Server, of door het je hoster te vragen. Sinds het PHP-lek van 21 oktober 2026 zijn alleen 8.2.35, 8.3.36, 8.4.27, 8.5.12 en hoger in die reeksen veilig.
Weinig zaakvoerders weten welke PHP-versie hun site gebruikt, en dat hoeft normaal ook niet. Na het php2shell-lek is dat versienummer ineens de belangrijkste vraag. Zo vind je het.
Bij de meeste hosters log je in op je klantenzone en open je het beheer van je website. Zoek naar "PHP-versie", "PHP-instellingen" of "PHP Selector". In cPanel heet het vaak Select PHP Version of MultiPHP Manager, in Plesk PHP-instellingen.
Daar zie je meestal de reeks (bijvoorbeeld 8.3). De exacte patch (8.3.36) staat soms in een aparte info-pagina. Staat die er niet, vraag het dan na.
Ga naar Extra > Sitestatus, klik op het tabblad Info en open Server. De regel "PHP-versie" toont het volledige nummer. Dat is de snelste manier als je een WordPress-site hebt en kunt inloggen.
Sommige servers vermelden hun PHP-versie in de antwoorden die ze naar elke bezoeker sturen. De gratis PHP-check van Marketing Scan leest die informatie uit met één gewone aanvraag naar je homepage. Je ziet of je site PHP gebruikt, welke versie zichtbaar is, en of die de fix bevat.
Toont je server geen versie, dan meldt de check dat ook. Dat is een goede beveiligingsgewoonte, maar dan moet je de versie via manier 1, 2 of 4 nagaan.
De zekerste manier. Stuur: "Op welke exacte PHP-versie draait onze website, en is die bijgewerkt voor CVE-2026-109618 en CVE-2026-109619?" Een goede hoster antwoordt dezelfde dag met een versienummer.
Heb je toegang tot de server, dan geeft php -v op de opdrachtregel de versie van de command-line PHP. Let op: de webserver kan een andere versie gebruiken. Een tijdelijk bestand met phpinfo() toont de versie die de website echt gebruikt; verwijder het meteen daarna, want het geeft aanvallers veel informatie.
Een website wordt gebouwd, opgeleverd en daarna vaak jaren niet meer aangeraakt. De hoster houdt de server draaiende, maar zet niet vanzelf een nieuwe PHP-reeks aan, omdat dat oude plug-ins of maatwerk kan breken. Niemand voelt zich verantwoordelijk, en zo blijft een site op PHP 7.4 staan lang nadat die versie geen updates meer kreeg.
Het php2shell-lek maakt dat pijnlijk zichtbaar: voor PHP 8.1 en ouder komt er geen fix, zo bevestigt Tenable. Wie daar nog op draait, moet nu een grotere upgrade doen onder tijdsdruk, met meer kans dat iets breekt.
De les: spreek met je webbouwer af wie de PHP-versie opvolgt, en laat die minstens eens per jaar naar een ondersteunde reeks optrekken. Dat kost een uur werk, geen nieuw project.
Volgens php.net en Help Net Security bevatten deze versies de fix voor php2shell:
Tip voor de lange termijn: kies een reeks die nog actief ondersteund wordt. Dan krijg je bij het volgende lek ook meteen een update.
In het controlepaneel van je hoster, in WordPress via Extra, Sitestatus, Info, Server, met de gratis check op marketingscan.be/php-lek, of door het je hoster te vragen.
Na het php2shell-lek van oktober 2026: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 of hoger binnen die reeksen. PHP 8.1 en ouder krijgen geen fix.
Nee. PHP 7.4 krijgt al jaren geen beveiligingsupdates meer en is kwetsbaar voor php2shell. Upgrade naar minstens PHP 8.2.
Veel hosters verbergen de versie bewust, zodat aanvallers minder informatie krijgen. Dat is goed, maar je moet de versie dan op een andere manier nagaan, bijvoorbeeld bij je hoster.
Hoe werkt een marketing scan? Meetmethode en grenzen
Maak een gratis account aan. Bewaar je website in je dashboard en volg je score en verbeterpunten op één plek.
Maak je gratis accountOp 21 oktober 2026 raakten twee kritieke lekken in PHP bekend (php2shell). Dit zijn de vragen die zaakvoerders er nu over stellen, kort beantwoord.
Is mijn website kwetsbaar voor het PHP-lek? · Wat is php2shell? · Welke PHP-versie is veilig? · en 7 meer
Klanten controleren dit in een oogopslag: het slotje, een echte contactpagina, een cookiemelding die klopt. Zo doe je het goed.
Hoe weet ik of mijn website veilig is? · Hoe ziet een klant of mijn website te vertrouwen is? · Is een cookiemelding verplicht in België? · en 1 meer
Onze scan controleert SPF, DKIM en DMARC omdat een mail die niet aankomt de duurste mail is die je stuurt.
Waarom komt mijn e-mail in de spam van de ontvanger? · Wat zijn SPF, DKIM en DMARC in gewone taal? · Hoe controleer ik of mijn e-mailinstellingen goed staan? · en 1 meer
30%
van 1505 kmo-sites heeft vertrouwen en veiligheid in de drie zwaarste werkpunten.
Lees het onderzoek16,5%
van 1505 kmo-sites heeft e-mailbezorging in de drie zwaarste werkpunten.
Lees het onderzoekIn vier stappen weet je of je website kwetsbaar is voor het PHP-lek van oktober 2026, zonder technische kennis en zonder je site te riskeren.
· 5 min leestijd
Kant-en-klare mails om te kopiëren over het PHP-lek: voor je hoster, voor je webbouwer en als opvolging, plus hoe je herkent of het antwoord goed genoeg is.
· 5 min leestijd
Elke WordPress-site draait op PHP en is dus geraakt door het php2shell-lek. Zo zorg je dat je site, je plug-ins en je webshop veilig blijven.
· 5 min leestijd
Bijna de helft van de WordPress-sites draait op verouderd PHP. Zie wat een update oplevert aan snelheid en veiligheid, en hoe je hem zonder brokken uitvoert.
· 7 min leestijd
Smartschool, DPG Media en ziekenhuizen gingen offline door het PHP-lek. Zo beslis je of jij dat ook moet doen, en wat een onderhoudsmodus wel en niet doet.
· 5 min leestijd
Welke pagina's heeft een restaurant nodig om lokaal gevonden te worden? Een leesbaar menu, actuele uren en een reservatiemogelijkheid zijn belangrijker dan…
· 3 min leestijd