Kritiek PHP-lek: update de PHP-versie van uw website nu

Er zit een kritiek PHP-lek in vrijwel elke website die op PHP draait. Op 21 oktober 2026 bracht het PHP-team een beveiligingsupdate uit voor twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Daarmee kan een aanvaller zonder in te loggen eigen code uitvoeren op de server en zo een website overnemen. De oplossing is de PHP-versie van uw website updaten naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Draait u PHP 8.1 of ouder, dan krijgt u deze update niet en moet u overstappen naar een nieuwere versie. ICT Productions regelt de update binnen 1 dag, voor elke website die op PHP draait, zoals WordPress, WooCommerce, Joomla, Drupal, Magento en maatwerk. Hieronder leest u wat het PHP-lek inhoudt, of uw website kwetsbaar is, wat u kunt doen als u niet direct kunt updaten en hoe u de PHP-update veilig aanpakt.

Uw PHP-update binnen 1 dag geregeld. Wij werken de PHP-versie van uw website bij, met een volledige back-up vooraf en een kort verslag achteraf. Dat geldt voor WordPress, WooCommerce, Joomla, Drupal, Magento en maatwerk. Vraag de PHP-update aan of doe eerst de gratis website-check. Liever bellen? Bel 010 261 40 06.

Kritiek PHP-lek CVE-2026-109618 en CVE-2026-109619: wat is er aan de hand?

Op 20 oktober 2026 kondigde het PHP-team een kritieke beveiligingsupdate aan voor twee kwetsbaarheden, elk met een CVSS v4.0-score van 9,2 op een schaal tot 10. Tweakers bracht het nieuws onder de kop dat de bugs makkelijk uit te buiten lijken. Op 21 oktober verscheen de update, samen met een security advisory op php.net met de titel "Critical remote code execution vulnerabilities, update now".

Het gaat om twee lekken die allebei remote code execution mogelijk maken, zonder dat de aanvaller een account nodig heeft:

• CVE-2026-109618, RCE via OOM corruption. Als PHP onverwacht geheugen tekortkomt, kan het verwerken van een verzoek halverwege worden onderbroken. Bij het opruimen behandelt PHP half ingevulde gegevens dan als geldig.
• CVE-2026-109619, RCE via stale global state. Gegevens van een eerder verzoek kunnen achterblijven nadat het geheugen al is vrijgegeven. Een volgend verzoek op dezelfde worker gebruikt die oude gegevens dan opnieuw.

Volgens het PHP-team loopt elke PHP-installatie die webverzoeken verwerkt risico. Dat geldt voor PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het risico is het hoogst bij mod_php: daar is een werkende aanval aangetoond waarbij één verzoek zonder inloggen de aanval start, nog voordat de code van de website zelf draait. Het maakt dus niet uit hoe goed uw WordPress-plugins of uw eigen code zijn bijgewerkt. Het lek zit in PHP zelf.

Hoe groot het risico is, legde cybersecurityexpert Daan Keuper uit aan NU.nl. Via deze lekken kunnen criminelen websites die op PHP draaien overnemen, met volledige toegang tot het systeem en alle gegevens erop. Nu de update er is, is ook bekend waar de lekken zitten. Aanvallers kunnen snel een script schrijven dat het internet afzoekt naar websites die nog niet zijn bijgewerkt. "Criminelen zitten op dat tijdstip namelijk ook klaar", aldus Keuper over het moment van de release. Wie snel updatet, is die aanvallen voor.

Op LinkedIn liet Mohamed Tourich van ICT Productions al weten dat we tot in de nacht doorgaan met patchen om systemen van klanten veilig te stellen. Bekijk het bericht op LinkedIn. Heeft u zelf last van het PHP-lek? Mail direct naar info@ictproductions.nl of vraag de PHP-update aan.

Is mijn website kwetsbaar voor het PHP-lek?

Ga ervan uit dat uw website kwetsbaar is als hij op PHP draait en nog niet is bijgewerkt. Controleer deze punten:

• Welke PHP-versie draait uw site? Alles onder PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 is kwetsbaar. Verderop leest u hoe u de versie opzoekt.
• Draait u PHP 8.1, 8.0 of 7.4? Het PHP-project levert voor die versies geen updates meer. Het PHP-team heeft wel minimale bronpatches gepubliceerd voor wie zelf PHP compileert, maar voor de meeste websites is overstappen naar een ondersteunde versie de enige echte oplossing.
• Gebruikt u Linux-pakketten van uw distributie? De grote Linux-distributies en LTS-leveranciers kregen de patches vooraf. Installeer hun nieuwste PHP-pakketten en herstart PHP.
• Gebruikt u de pakketten van rpms.remirepo.net? Het PHP-team meldt dat die bron op 21 oktober geen updates heeft en raadt aan over te stappen op pakketten van uw distributie of zelf te compileren.
• Zit u op gedeelde hosting? Vraag uw hostingpartij of de nieuwe PHP-versie al is geïnstalleerd. Kies in het hostingpaneel daarna zelf de bijgewerkte versie als dat nodig is.

Wilt u snel weten wat er van buitenaf over uw website te zien is? Doe de gratis website-check. U vult het adres in en ziet direct de PHP-versie als uw server die meestuurt, en daarnaast het CMS, HTTPS en de beveiligingsheaders. Toont de check geen versie, dan is uw site daarmee nog niet veilig. Kijk de versie dan zelf na zoals we verderop uitleggen.

Twijfelt u of uw website veilig is? Wij regelen de PHP-update binnen 1 dag, met een back-up vooraf. Vraag de PHP-update aan of bel 010 261 40 06.

Tijdelijke maatregelen als u niet direct kunt updaten

Het PHP-team is duidelijk: alleen een update lost het lek volledig op. Kunt u niet meteen updaten, dan verkleinen deze maatregelen uit de advisory het risico, maar ze maken uw installatie niet veilig:

• Tegen CVE-2026-109618: zet memory_limit op -1 op serverniveau, bijvoorbeeld met php_admin_value in de FPM-pool of de Apache-configuratie, en houd post_max_size laag. Het PHP-team noemt 8M voor sites zonder uploads en 32M voor sites met uploads.
• Tegen CVE-2026-109619: zet session.upload_progress.enabled op 0 in php.ini of de FPM-pool en herstart alle workers. Op PHP 8.5 zet u ook fatal_error_backtraces op 0. Een instelling via ini_set() of .user.ini helpt hier niet.
• Op de webserver: stel limieten in voor de grootte van verzoeken, het aantal velden en het aantal headers, ook voor verzoeken zonder geldige Content-Length.

Deze instellingen kunnen ook gevolgen hebben voor de werking van uw website, zoals uploads van grote bestanden. Gebruik ze daarom alleen als noodmaatregel tot de update er is.

Let op: denkt u dat uw website al gehackt is, dan is updaten alleen niet genoeg. Een aanvaller kan een achterdeur hebben achtergelaten. Laat de bestanden en de database controleren, verwijder onbekende beheerdersaccounts, wijzig alle wachtwoorden en zet zo nodig een schone back-up terug.

Waarom moet u de PHP-versie van uw website updaten?

Een website bestaat uit meer dan wat u op het scherm ziet. Onder de motorkap draait software op de server, en PHP is daar een belangrijk onderdeel van. Net als het besturingssysteem op uw laptop krijgt PHP regelmatig updates die beveiligingslekken dichten.

Die updates komen niet eeuwig. Het PHP-team ondersteunt elke versie ongeveer vier jaar: eerst twee jaar met gewone verbeteringen, daarna nog twee jaar alleen met beveiligingsupdates. Daarna is de versie end of life. Wordt er dan een lek gevonden, dan komt er geen oplossing meer.

De drie belangrijkste redenen om te updaten:

• Beveiliging. Een verouderde PHP-versie is een bekende ingang voor aanvallers. U ziet het niet aan de voorkant van uw site, maar geautomatiseerde scanners zoeken er gericht naar. Een gehackte site is vaak het begin van grotere problemen, zoals we beschrijven in ons artikel over ransomware voorkomen.
• Snelheid. Nieuwere PHP-versies voeren dezelfde code meestal efficiënter uit. Pagina's laden sneller en de server heeft minder werk aan elke bezoeker.
• Compatibiliteit. Nieuwe versies van WordPress, plugins en thema's gaan uit van een recente PHP-versie. Blijft u achter, dan kunt u op een gegeven moment uw plugins niet meer bijwerken.

WordPress raadt op de eigen pagina met systeemeisen PHP 8.3 of hoger aan. Oudere versies werken soms nog, maar WordPress waarschuwt zelf dat die uw site kunnen blootstellen aan beveiligingsproblemen.

Welke PHP-versies worden nog ondersteund?

Op 21 oktober 2026 ondersteunt het PHP-team vier versies. De tabel hieronder komt van de officiële pagina met ondersteunde versies op php.net.

Veeg opzij om de hele tabel te zien

Wat betekent dit voor u? Draait u op PHP 8.1, 8.0 of een 7.x-versie, dan krijgt uw site nu al geen beveiligingsupdates meer, ook niet tegen het kritieke PHP-lek van oktober 2026. Op PHP 8.2 heeft u nog tot het einde van dit jaar. Wie nu updatet, kiest het beste voor PHP 8.4 of 8.5. Dan zit u jaren goed.

Let op: een hostingpartij kan een verouderde PHP-versie zelf uitzetten of er extra kosten voor rekenen. Wacht u tot dat gebeurt, dan moet de update ineens onder tijdsdruk. Plan hem liever zelf.

Hoe ziet u welke PHP-versie uw website gebruikt?

Er zijn een paar manieren om te controleren welke versie uw site nu draait.

• In WordPress. Ga naar Gereedschap en dan Sitestatus. Onder het tabblad Info staat bij Server de PHP-versie. Is die verouderd, dan toont WordPress op het tabblad Status vaak ook al een waarschuwing.
• In het hostingpaneel. Bij DirectAdmin, cPanel, Plesk en de meeste andere panelen staat de PHP-versie bij de instellingen van uw domein. Daar ziet u ook welke versies de host aanbiedt.
• Bij uw hostingpartij of webbouwer. Heeft u geen toegang tot het paneel, vraag het dan na. Het is een vraag die zij binnen een paar minuten kunnen beantwoorden.

Noteer meteen ook welke versie van WordPress of uw andere CMS u gebruikt en hoe lang de plugins al niet zijn bijgewerkt. Dat bepaalt hoeveel werk de update is.

Wat kan er misgaan bij een PHP-update?

In het hostingpaneel is het omzetten van de PHP-versie vaak één keuzemenu. Toch is het niet zonder risico. Elke nieuwe PHP-versie haalt oude functies weg en wordt strenger in wat hij accepteert. Code die jaren goed werkte, kan op een nieuwe versie ineens een foutmelding geven.

De problemen die we het vaakst zien:

• Een witte pagina of een kritieke fout. Een plugin of thema gebruikt een functie die in de nieuwe versie niet meer bestaat. De site laadt dan helemaal niet meer.
• Een deel werkt niet meer. Bijvoorbeeld het contactformulier, de betaalmodule van de webshop of een koppeling met uw boekhouding. De homepage ziet er goed uit, waardoor het probleem pas later opvalt.
• Verouderde plugins zonder update. De maker is ermee gestopt, en er komt geen versie die op nieuwe PHP werkt. Dan is een vervanger nodig.
• Maatwerkcode. Code die speciaal voor uw site geschreven is, krijgt geen automatische updates. Die moet iemand nalopen en waar nodig aanpassen.

Tip: zet de PHP-versie nooit om zonder verse back-up van zowel de bestanden als de database. Gaat er iets mis, dan zet u in een paar minuten de oude situatie terug.

Zo pakt u een PHP-update veilig aan

Een veilige update volgt altijd dezelfde stappen. Of u het nu zelf doet of laat doen, dit is de volgorde die werkt.

1. Back-up maken. Een volledige kopie van de bestanden en de database, opgeslagen buiten de server zelf.
2. Alles bijwerken op de huidige versie. Eerst het CMS, de plugins en het thema bijwerken terwijl de oude PHP-versie nog draait. Nieuwere plugin-versies zijn vaak al geschikt voor nieuwe PHP.
3. Controleren op compatibiliteit. Nalopen of de plugins, het thema en eventuele maatwerkcode werken met de nieuwe versie. Wat niet werkt, wordt aangepast of vervangen.
4. Testen op een kopie. De nieuwe PHP-versie eerst instellen op een testomgeving en daar de belangrijkste functies testen: pagina's, formulieren, zoeken, inloggen en bij een webshop een testbestelling.
5. Omzetten op de live site. Pas als de test goed is, wordt de live site omgezet. Kies daarvoor een rustig moment.
6. Nacontrole. Direct na het omzetten de foutlogboeken bekijken en de belangrijkste pagina's en formulieren nog een keer testen.

Heeft u één simpele site en bent u handig met het hostingpaneel, dan kunt u dit zelf. Heeft u een webshop, veel plugins, maatwerk of gewoon geen tijd, laat het dan doen door iemand die dit vaker doet.

PHP-lek dichten: PHP-update laten regelen door ICT Productions

ICT Productions regelt de update van de PHP-versie binnen 1 dag, ook nu voor het kritieke PHP-lek, voor alle websites die op PHP draaien. Dat geldt voor WordPress en WooCommerce, maar ook voor Joomla, Drupal, Magento, PrestaShop en maatwerk PHP-sites. We volgen de stappen hierboven: back-up, bijwerken, controle, testen en pas dan omzetten.

Wat u van ons krijgt:

• Een volledige back-up vooraf, zodat er altijd een weg terug is.
• Controle van plugins, thema en maatwerkcode op de nieuwe PHP-versie.
• Een kort verslag achteraf: van welke naar welke versie, wat we hebben bijgewerkt en of er iets is dat later nog aandacht vraagt.
• Duidelijkheid als er meer nodig is. Vinden we een plugin die niet meer wordt onderhouden of code die herschreven moet worden, dan hoort u dat voordat we verdergaan.

Wilt u de PHP-versie van uw website laten updaten? Vraag de PHP-update aan. Het bericht staat al voor u klaar, u vult alleen het adres van uw website en uw gegevens in. Wij nemen contact op om de toegang tot de hosting en een moment af te spreken.

Wilt u daarna niet meer aan PHP-versies, plugin-updates en back-ups hoeven denken? Met website-onderhoud houden wij uw site elke maand bij, inclusief de PHP-versie. Laat u een nieuwe site bouwen, kijk dan bij websites laten maken. Meer over wat we doen leest u op de homepage van ICT Productions.