Op 21 oktober 2026 raakten twee kritieke lekken in PHP bekend (php2shell). Dit zijn de vragen die zaakvoerders er nu over stellen, kort beantwoord.
Ja, als je website op PHP draait en de server nog niet bijgewerkt is naar PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12. Alle PHP-versies vanaf PHP 5 zijn getroffen. Elke WordPress-, WooCommerce-, Joomla- of Drupal-site draait op PHP. Zekerheid krijg je alleen door je hoster het exacte versienummer te vragen. Een eerste indicatie krijg je in tien seconden met de gratis PHP-check op marketingscan.be/php-lek, die het lek nooit uitprobeert.
Ook gezocht als: php lek, php2shell, is mijn website kwetsbaar php lek, welke php versie is veilig, php lek wordpress, CVE-2026-109618, CVE-2026-109619, php lek wat doen.
php2shell is de bijnaam van twee kritieke lekken in PHP, CVE-2026-109618 en CVE-2026-109619, bekendgemaakt op 21 oktober 2026. Samen laten ze een aanvaller zonder wachtwoord eigen code uitvoeren op de server van een website. Tenable geeft ze een CVSS v4-score van 9,2 op 10. Wie binnen is, kan je site aanpassen, klantgegevens uit je database halen of je server misbruiken. Het lek zit in PHP zelf, niet in een plug-in.
PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, of hoger binnen dezelfde reeks. Die versies bevatten de fix, volgens php.net. Let op het laatste cijfer: PHP 8.3.35 is kwetsbaar, 8.3.36 niet. PHP 8.1, 8.0, 7.x en 5.x krijgen geen fix; daar is een upgrade naar minstens 8.2 nodig. In WordPress vind je je versie onder Extra, Sitestatus, Info, Server.
Nee. PHP 7.4 is kwetsbaar voor php2shell en krijgt geen fix, net als elke versie onder 8.2. Je moet naar minstens PHP 8.2.35. Die sprong kan oude plug-ins of thema's breken, dus maak eerst een volledige back-up, werk je CMS en plug-ins bij, test op een kopie van je site als je hoster dat aanbiedt, en klik daarna je contactformulier en betaalstap door.
Ja. WordPress draait altijd op PHP, dus elke WordPress-site is kwetsbaar zolang de server niet bijgewerkt is. Een WordPress-update lost het niet op: de PHP-versie op de server moet omhoog, en dat regelt je hoster. Een beveiligingsplug-in zoals Wordfence draait zelf in PHP en kan het lek niet dichten. Heb je een WooCommerce-webshop, controleer na de update ook bestellingen, betalingen en je lijst met beheerders.
Voor de meeste kleine bedrijven niet, op voorwaarde dat de PHP-update vandaag of morgen gebeurt. Smartschool, DPG Media, ziekenhuizen en overheden gingen uit voorzorg offline omdat ze veel systemen moeten nakijken. Verwerk je via je site gevoelige gegevens en kan je webbouwer pas over meerdere dagen updaten, dan is tijdelijk offline gaan of de site in onderhoudsmodus zetten wel een redelijke keuze.
Gedeeltelijk. Cloudflare zag de eerste aanvalspogingen en zette extra firewallregels in, en zo'n webfirewall kan bekende aanvalspatronen tegenhouden. Dat koopt tijd, maar het is geen reparatie: aanvallers passen hun aanvallen aan om regels te omzeilen. Patchstack en Cloudflare zijn het eens dat bijwerken de enige volledige oplossing is. Zie de firewall als een tijdelijk slot op de deur en laat PHP hoe dan ook updaten.
Niet op jouw verantwoordelijkheid. Bij Shopify, Wix, Squarespace en Webflow beheert het platform de servers, dus jij hoeft niets te updaten. Let wel op met wat ernaast draait: een aparte blog, landingspagina of klantenzone op WordPress of een ander PHP-systeem moet wel bijgewerkt worden. Twijfel je welk systeem een site gebruikt, dan toont de gratis PHP-check op marketingscan.be/php-lek dat meestal meteen.
Op 21 oktober 2026 meldde het Centrum voor Cybersecurity België (CCB) nog geen geslaagde aanvallen in België. Cloudflare zag wel al de eerste aanvalspogingen, meldt VRT NWS. Bij eerdere lekken van deze omvang scanden aanvallers binnen enkele dagen automatisch het hele internet af. Wacht dus niet op nieuws over aanvallen: wie dan pas bijwerkt, is vaak te laat.
Vraag letterlijk: draait onze website op PHP, en zo ja, op welke exacte versie, en is die bijgewerkt naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12 voor CVE-2026-109618 en CVE-2026-109619? 'We kijken ernaar' is geen antwoord; je wilt het versienummer zien. Krijg je binnen een werkdag geen duidelijk antwoord, bel dan. Bij gedeelde hosting werkt de hoster PHP meestal centraal bij, maar vraag het toch zwart op wit.