PHP-lek: zo controleert u of uw website kwetsbaar is
Twee kritieke lekken in PHP zetten op 21 oktober 2026 een groot deel van het web op scherp. Overheidssites gingen uit voorzorg offline. Maar hoe weet u of uw eigen website, webshop of klantportaal geraakt kan worden? In dit artikel controleert u in een paar stappen of u op PHP draait, welke versie dat is en wat u vandaag en na de update moet doen.
Draait uw website op PHP, dan moet de PHP-versie op de server worden bijgewerkt zodra de beveiligingsupdate er is. Dat doet uw hostingpartij of uw ontwikkelaar, niet WordPress of een plugin.
Controleer hieronder in vier stappen of u op PHP draait en welke versie dat is. Gebruikt u een versie die niet meer wordt ondersteund, dan krijgt die geen update en moet u eerst overstappen.
Draait uw website op PHP?
- PHP draait op de server. U ziet het niet in uw browser, maar de meeste klassieke websites gebruiken het.
- WordPress, WooCommerce, Drupal, Joomla, Magento, PrestaShop en Laravel draaien allemaal op PHP.
- Huurt u een platform als dienst, zoals Shopify of Wix, dan beheert u geen server en ligt de update bij de aanbieder.
- Een update van uw CMS of plugins is niet hetzelfde als een update van PHP zelf.
- Versies die niet meer worden ondersteund, krijgen geen beveiligingsupdate. Daar is overstappen de enige oplossing.
PHP is de programmeertaal waarin een groot deel van de websites op internet is geschreven. Het draait op de webserver: elke keer dat iemand een pagina opvraagt, maakt PHP die pagina aan. Als bezoeker merkt u daar niets van, en ook veel eigenaren weten niet dat hun site erop draait. Dat is precies waarom een kritiek lek in PHP zo breed raakt.
Of u geraakt kunt worden, hangt af van twee vragen: draait er PHP op de server achter uw site, en wie beheert die server? Het overzicht hieronder geeft voor de meest gebruikte platforms antwoord.
Draait uw platform op PHP, en wie zorgt voor de update?
| Platform | Draait op PHP | Wie werkt PHP bij |
|---|---|---|
| WordPress of WooCommerce bij een hostingpartij | Ja | Uw hostingpartij. U werkt zelf WordPress en plugins bij |
| Managed WordPress-hosting | Ja | De aanbieder, meestal zonder dat u iets hoeft te doen |
| Drupal, Joomla, Magento of PrestaShop | Ja | Uw hostingpartij of de partij die de server beheert |
| Maatwerk in Laravel of Symfony | Ja | Uw ontwikkelaar of beheerpartij |
| Eigen server of VPS | Vaak wel | U zelf, of wie het serverbeheer voor u doet |
| Shopify, Wix, Squarespace en vergelijkbare diensten | U beheert geen server | De aanbieder van het platform |
Zo vindt u uw PHP-versie
Na de release van de beveiligingsupdate maakt het PHP-securityteam bekend welke versies kwetsbaar zijn en welke versie de oplossing bevat. Weet u nu al welke versie u draait, dan kunt u meteen zien of u moet handelen. Er zijn vier manieren om erachter te komen, van eenvoudig naar technisch.
- Kijk in WordPress bij Sitediagnose
Ga in het dashboard naar Gereedschap, dan Sitediagnose, tabblad Info, onderdeel Server. Daar staat de PHP-versie. In een Engelstalig dashboard heet dit Tools, Site Health.
- Kijk in het beheerpaneel van uw hosting
In panelen als cPanel, DirectAdmin en Plesk staat de PHP-versie meestal bij de instellingen van het domein, vaak onder de naam PHP-versie of PHP Selector.
- Vraag het uw hostingpartij of ontwikkelaar
Vraag welke PHP-versie er draait, wanneer zij de update installeren en of er tot die tijd extra bescherming is, zoals een web application firewall.
- Controleer het op de server zelf
Heeft u toegang tot de server, dan toont het commando php -v de versie. Let op: de versie op de opdrachtregel kan afwijken van de versie die de webserver gebruikt.
Een veelgegeven tip is een bestand met phpinfo() op uw site te zetten. Dat werkt, maar toont aan iedereen precies welke versie en instellingen u draait. Juist vandaag is dat informatie voor aanvallers. Gebruikt u het toch, verwijder het bestand dan direct.
Wordt uw PHP-versie nog ondersteund?
Het PHP-project ondersteunt elke versie een vaste periode. Eerst met gewone updates, daarna alleen nog met beveiligingsupdates, en daarna helemaal niet meer. Wie een versie gebruikt die buiten die periode valt, krijgt bij dit lek geen update. Het actuele overzicht van ondersteunde versies op php.net laat per versie zien tot wanneer die wordt bijgewerkt.
Dat is geen theoretisch probleem. Veel websites draaien nog op PHP 7 of op vroege versies van PHP 8, omdat een overstap tijd kost en de site het gewoon doet. Bij een lek als dit wordt dat uitstel ineens urgent: een site op een niet-ondersteunde versie blijft kwetsbaar, ook nadat iedereen om hem heen heeft bijgewerkt.
Wat de status van uw PHP-versie betekent bij dit lek
| Status van uw versie | Krijgt u een update | Wat u doet |
|---|---|---|
| Actief ondersteund | Ja | De update installeren zodra die er is |
| Alleen nog beveiligingsupdates | Ja, als de versie in de lijst van getroffen versies staat | De update installeren en een overstap naar een nieuwere versie plannen |
| Niet meer ondersteund | Nee | Zo snel mogelijk overstappen, en tot die tijd de toegang beperken |
Moet u uw site offline halen tot de update?
De overheid koos ervoor om sites uit voorzorg offline te halen. Voor een bedrijfswebsite is dat niet altijd nodig. Het hangt af van wat er op de server staat en hoe snel u de update kunt installeren. Gebruik de beslishulp hieronder: vink aan wat op uw situatie van toepassing is.
Vink aan wat voor uw website of platform geldt. Hoe meer er links staat, hoe sterker de reden om tijdelijk offline te gaan of de toegang te beperken.
Tijdelijk offline
Online laten
Vink hierboven aan wat voor u geldt.
Tijdelijk offline: 0Online laten: 0
Wat u na de update controleert
De beveiligingsupdate staat gepland voor woensdag 21 oktober om 16.00 uur Nederlandse tijd. Daarna is het werk niet klaar. Een update die niet goed is geïnstalleerd, of een server die nog op de oude versie draait, geeft schijnzekerheid.
- Controleer de versie opnieuw
Kijk op dezelfde plek als eerst of de nieuwe versie actief is. Soms moet de webserver of PHP-FPM opnieuw worden gestart voordat de update werkt.
- Test de belangrijkste functies
Inloggen, formulieren, betalingen en koppelingen. Een PHP-update breekt zelden iets binnen dezelfde versie, maar bij oudere code kan het gebeuren.
- Kijk in de logbestanden
Zoek naar ongebruikelijke verzoeken, onbekende bestanden of nieuwe beheeraccounts vanaf het moment van de aankondiging op 20 oktober.
- Vervang wachtwoorden en sleutels bij twijfel
Ziet u iets verdachts, vervang dan wachtwoorden, API-sleutels en databasetoegang, en schakel een specialist in.
Gebruikt u WordPress, lees dan ook WordPress en het PHP-lek. Voor de achtergrond en een live overzicht van sites die offline zijn, zie het overzicht van het PHP-lek.
Welke sites nu offline zijn
Hieronder ziet u live welke bekende websites op dit moment niet normaal bereikbaar zijn. Zo kunt u zien hoe organisaties de update doorvoeren en wanneer ze weer online komen.
Het overzicht wordt opgehaald.
We meten vanaf een server van Appfront of de publieke homepage laadt. Inloggen met DigiD testen we niet. Een pagina die alleen een onderhoudsmelding toont, telt als niet normaal bereikbaar. Staat uw eigen platform op PHP en twijfelt u? Laat een developer meekijken.
de ernstscore op 10 (CVSS 4.0) van elk van de twee lekken, volgens het PHP-securityteam.
manieren om uw PHP-versie te vinden, van het WordPress-dashboard tot de server zelf.
het geplande moment van de beveiligingsupdate op 21 oktober (14.00 uur UTC).
Veelgestelde vragen
Over het controleren van uw website op het PHP-lek.
Hoe weet ik of mijn website op PHP draait?
Gebruikt u WordPress, WooCommerce, Drupal, Joomla, Magento, PrestaShop of Laravel, dan draait uw site op PHP. Twijfelt u, vraag het dan aan uw hostingpartij of ontwikkelaar.
Waar vind ik mijn PHP-versie in WordPress?
In het dashboard onder Gereedschap, Sitediagnose, tabblad Info, onderdeel Server. In het Engels heet dit Tools, Site Health.
Moet ik zelf PHP updaten?
Meestal niet. Bij gewone hosting werkt de hostingpartij PHP bij. Alleen als u een eigen server of VPS beheert, of als dat in uw afspraken staat, doet u of uw ontwikkelaar het zelf.
Is een WordPress-update genoeg?
Nee. Het lek zit in PHP zelf, op de server. Een update van WordPress of plugins vervangt de update van PHP niet.
Wat als mijn PHP-versie niet meer wordt ondersteund?
Dan krijgt die versie geen beveiligingsupdate. U moet overstappen naar een ondersteunde versie. Tot die tijd is het verstandig de toegang tot de site te beperken.
Moet ik mijn website offline halen?
Dat hangt af van wat er op staat. Verwerkt de site persoonsgegevens of betalingen en kan de update niet direct, dan is tijdelijk offline gaan verdedigbaar. Een informatieve site kan meestal online blijven als de update direct na de release wordt geïnstalleerd.
Verder lezen
Het PHP-lek van oktober 2026
Wat er aan de hand is, welke sites offline zijn en de tijdlijn.
Lees verder WordPressWordPress en het PHP-lek
Wat u als eigenaar van een WordPress-site moet doen, en wat niet.
Lees verder LegacyLegacy software moderniseren
Overstappen van een verouderd platform zonder dat uw werk stilvalt.
Lees verderWeet u niet zeker of uw platform veilig is?
Draait uw platform op een PHP-versie die u niet kent, of op code die niemand meer durft aan te raken? Een developer van Appfront kijkt met u mee: welke versie er draait, wat er nodig is voor de update en hoe u voorkomt dat het de volgende keer weer spannend wordt.