Uit voorzorg offline · 21 oktober 2026
Scholen en ziekenhuizen offline. Is jouw site veilig?
Smartschool, ziekenhuizen en overheidssites haalden hun websites offline na twee kritieke lekken in PHP. Vul je websiteadres in en zie binnen tien seconden of jouw site risico loopt.
- Gratis
- Resultaat in 10 seconden
- Geen installatie, geen login
- We proberen niets uit op je site
Wil je je website ook elke week laten nakijken? Maak je gratis account aan
Het lek in drie zinnen
Wat
Twee kritieke lekken in PHP
CVE-2026-109618 en CVE-2026-109619 laten een aanvaller zonder wachtwoord code uitvoeren op je server. Ernstscore 9,2 op 10. Wie dat lukt, kan je site, je klantgegevens en je mailbox overnemen.
Wie
Meer dan 70% van alle websites
PHP zit onder WordPress, WooCommerce, Joomla, Drupal, Magento en PrestaShop. Elke versie vanaf PHP 5 is getroffen. Ook kleine sites: aanvallers scannen automatisch, niet op naam.
Wat nu
Updaten is de enige echte oplossing
De fix zit in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Oudere versies dan 8.2 krijgen geen fix meer: die sites moeten naar een nieuwere versie. Een firewall helpt even, maar vervangt de update niet.
Wat je vandaag doet
Controleer je site hierboven
Je ziet meteen of je site PHP gebruikt en, als je server het toont, welke versie.
Stuur je webbouwer of hosting een bericht
Vraag of je site op een versie mét de fix draait. Met één klik kopieer je een kant-en-klaar bericht.
Werk ook je CMS en plug-ins bij
Verouderde plug-ins zijn de meest gebruikte ingang na een lek als dit. Update ze in dezelfde beurt.
Laat je site blijven bewaken
Met een account controleren we je site elke week en mailen we je als er iets verandert. De eerste 50 gebruikers krijgen een jaar gratis.
Wat we wel en niet controleren
Wel
- Of je homepage tekenen van PHP toont
- De PHP-versie, als je server die meldt
- Welk CMS je site gebruikt
- Of er een firewall zoals Cloudflare voor staat
Niet
- Of je site al gehackt is
- Of je hosting de fix stil heeft toegepast
- Andere servers dan die van je homepage
- We proberen het lek nooit zelf uit
Vragen
Is mijn website gehackt?
Daar zegt deze controle niets over: we kijken enkel of je site PHP draait en of de versie de fix heeft. Volgens het Centrum voor Cybersecurity België (CCB) zijn er in België nog geen geslaagde aanvallen vastgesteld, maar Cloudflare ziet wel de eerste pogingen. Daarom: vandaag updaten.
Mijn server toont geen versie. Ben ik dan veilig?
Niet noodzakelijk. De meeste servers verbergen hun versie, dat is een goede gewoonte. Het betekent alleen dat je het van buitenaf niet kunt zien. Je hostingpartij of webbouwer weet het wel: vraag het na.
Ik heb Cloudflare of een andere firewall. Volstaat dat?
Het helpt. Cloudflare heeft regels uitgerold die bekende aanvalspatronen tegenhouden. Maar aanvallers zoeken omwegen, en een firewall dekt niet elke route naar je server. Patchen blijft de enige volledige oplossing.
Mijn site draait op Wix, Squarespace of Shopify.
Dan beheert dat platform de server voor jou en draait je site meestal niet op een eigen PHP-installatie. Onze controle toont dan doorgaans 'Geen PHP gezien'. Heb je daarnaast een eigen webshop, blog of klantenportaal, laat die dan apart nakijken.
Proberen jullie het lek uit op mijn site?
Nee. We vragen je homepage één keer op, net zoals een gewone bezoeker, en lezen wat je server aan iedereen vertelt. We proberen nooit een aanval uit: dat zou een inbraak op andermans server zijn.
Waarom zou ik een account maken?
Een lek als dit komt terug, en dan wil je het als eerste weten. Met een account controleren we je site elke week op beveiliging, vindbaarheid bij Google en meer, en krijg je een melding zodra er iets verandert. De eerste 50 gebruikers krijgen een jaar gratis, met tot 3 websites per account. Daarna kies je zelf een plan of stop je; er wordt niets automatisch aangerekend.
Nog niet gecontroleerd?
Het duurt tien seconden en het is gratis. Daarna weet je precies wat je je webbouwer moet vragen.
Controleer mijn siteLees verder
- PHP-lek (php2shell): wat moet je als ondernemer doen?
- Is mijn website kwetsbaar voor het PHP-lek? Zo check je het
- WordPress en het PHP-lek: wat je vandaag regelt
- Welke PHP-versie heeft mijn website? Zo vind je het
- Moet ik mijn website offline halen door het PHP-lek?
- PHP-lek: welke mail stuur je naar je webbouwer?
- Webshop en het PHP-lek: klantgegevens en betalingen beschermen
Bronnen
- VRT NWS: cyberbeveiliger ziet eerste aanvallen rond kwetsbaarheden in PHP
- TechPulse: PHP-lek, DPG Media en Smartschool halen websites offline
- Tenable: veelgestelde vragen over CVE-2026-109618 en CVE-2026-109619
- Help Net Security: php2shell, PHP-lekken gepatcht
- PHP: officiële release-aankondigingen
Vertalingen en pagina bijgewerkt op 29 oktober 2026. Nieuwscontext: 21 oktober 2026.