Draait je site op WordPress, Joomla, Drupal, Magento of een ander systeem waar je in inlogt om teksten aan te passen, dan draait hij vrijwel zeker op PHP. Op 21 oktober 2026 is daar een update voor uitgebracht die twee ernstige lekken dicht. Die update voer je niet zelf uit: dat doet de partij die je site host. Wat jij doet, is vandaag vragen of het gebeurd is, en anders wanneer. Verderop staan de vier vragen die je stelt. Is je site platte HTML, of staat hij bij een dienst als Shopify, Wix of Squarespace, dan hoef je niets te doen.
PHP is de programmeertaal onder het grootste deel van de websites in Nederland. Niet omdat ondernemers daarvoor kiezen, maar omdat WordPress erop draait, en WordPress zit onder meer dan de helft van alle sites met een beheeromgeving. Een lek in PHP zelf is daarom iets anders dan een lek in een plugin: het raakt in één keer alles wat erop gebouwd is.
Wat er aan de hand is
De beveiligingsploeg van PHP heeft twee lekken gemeld, met de nummers CVE-2026-109618 en CVE-2026-109619. Allebei laten ze een aanvaller op afstand code uitvoeren op de server waar de site op draait, zonder in te loggen. Op een schaal van tien scoren ze 9,2. De details lekten op 20 oktober voortijdig uit, een dag voordat de update klaar was, en sindsdien melden meerdere beveiligingsbedrijven dat het lek al wordt misbruikt. De update kwam op 21 oktober om 16:00 uur Nederlandse tijd.
Twee dingen zijn op het moment van schrijven, 21 oktober 2026, nog niet officieel bevestigd: welke versies van PHP geraakt zijn, en welke versienummers het lek dichten. Wat wel vaststaat: PHP onderhoudt alleen versie 8.2 en nieuwer. Draait je site op een oudere versie, dan komt daar geen update voor, en dan is bijwerken naar een nieuwere versie de enige oplossing.
Draait mijn site op PHP?
Dat hoef je niet in de techniek op te zoeken. Het volgt uit het soort site dat je hebt.
- Je logt in om teksten of foto's te wijzigen. WordPress, Joomla, Drupal, Magento, WooCommerce, PrestaShop: dan draait je site op PHP. Lees verder.
- Je site staat bij een alles in één dienst. Shopify, Wix, Squarespace, Jouwweb, Lightspeed. Die partijen beheren de techniek zelf en jij kunt er niet bij. Je hoeft niets te doen.
- Je site is platte HTML. Dan is er geen programmeertaal die op de server draait en raakt dit lek je niet. Weet je niet zeker of dat zo is, vraag het dan aan wie de site gebouwd heeft.
Twijfel je, ga dan uit van de eerste groep. De vragen hieronder stellen kost tien minuten, en een hostingpartij die ze niet kan beantwoorden, is ook een antwoord.
De vier vragen aan je hostingpartij
Je hoeft niets te begrijpen van het lek om dit te vragen. Stuur de vragen zoals ze er staan, met de twee nummers erbij, dan weet de hostingpartij direct waar het over gaat.
- Op welke versie van PHP draait mijn site op dit moment?
- Is de update van 21 oktober 2026 al doorgevoerd, en zo nee, wanneer gebeurt dat?
- Is er gecontroleerd of de site in de tussentijd niet is geraakt?
- Staat er een back-up van de site op een andere plek dan de server zelf?
Het goede antwoord op de tweede vraag is een datum, en bij voorkeur vandaag. Het goede antwoord op de eerste vraag begint met 8.2 of hoger. Hoor je 7.4 of lager, dan is er een groter probleem dan dit lek: die versies krijgen al jaren geen beveiligingsupdates meer.
Wie is mijn hostingpartij?
Dat is niet altijd degene die de site gebouwd heeft. Vaak staat de hosting op naam van de bouwer, soms op naam van jou, en soms bij een partij waar je nog nooit van gehoord hebt. Hoe je dat in twee minuten uitzoekt, staat in van wie is je website eigenlijk. Zit de bouwer ertussen, stuur de vragen dan naar hem; het is zijn taak om ze door te zetten.
Waarom dit lek onze sites niet raakt
De sites die wij bouwen en hosten, zijn platte HTML. Er draait geen WordPress onder en geen PHP, dus er is op onze server niets wat deze update nodig heeft. Dat hebben we op 21 oktober op de server zelf gecontroleerd en niet aangenomen. Het is ook de reden dat we zo bouwen: minder onderdelen die draaien, is minder dat kapot kan en minder dat bijgehouden moet worden.
Dat is iets anders dan zeggen dat een site zonder PHP veilig is. Ook een server die alleen bestanden uitlevert, heeft onderhoud nodig en krijgt updates. Het verschil is dat een lek als dit, dat in één klap meer dan de helft van het web raakt, aan ons voorbijgaat. Voor klanten van wie de site nog bij een andere partij op WordPress draait, hebben we vandaag dezelfde vier vragen gestuurd.
Wat je verder kunt doen
- Stel de vier vragen vandaag, ook als je denkt dat het wel goed zit. Een antwoord op papier is meer waard dan een aanname.
- Werk WordPress zelf, het thema en de plugins ook bij. Dit lek zit daar niet in, maar het is het moment om het meteen te doen.
- Zet tweestapsverificatie aan op je beheeromgeving en op je e-mail.
- Ziet je site er vreemd uit, of krijg je een melding van je hostingpartij, lees dan wat je in het eerste uur doet. De eerste reflex, alles weggooien, is daar de verkeerde.
Bouwt, koppelt en beheert de sites van Datalage. Daarvoor vijftien jaar projecten en programma's bij grote organisaties, waaronder twee ISO 27001-trajecten.