WordPress en het PHP-lek: wat u als site-eigenaar moet doen
WordPress draait op PHP, en dus kijken op 21 oktober 2026 miljoenen site-eigenaren naar dezelfde vraag: is mijn site kwetsbaar voor de twee kritieke PHP-lekken, en moet ik iets doen? Het korte antwoord is dat het werk vooral bij uw hostingpartij ligt. Het lange antwoord leest u hieronder, met de stappen die u zelf wel moet zetten.
Uw WordPress-site draait op PHP en kan dus geraakt worden. De oplossing is een update van PHP op de server, en die installeert bij gewone hosting uw hostingpartij. Een WordPress- of plugin-update lost dit lek niet op.
Wat u zelf doet: uw PHP-versie opzoeken, uw hostingpartij vragen wanneer zij bijwerken, en na de update controleren of alles werkt. De stappen staan hieronder.
Waarom WordPress-sites geraakt kunnen worden
- WordPress is in PHP geschreven. Elke WordPress-site draait dus op een server met PHP.
- Het lek zit in PHP zelf, niet in WordPress, een thema of een plugin.
- Bij gewone en managed hosting werkt de hostingpartij PHP bij, niet u.
- Draait uw site op een PHP-versie die niet meer wordt ondersteund, dan komt er geen update voor.
- Na de update test u inloggen, formulieren en de webshop, en kijkt u in de logbestanden.
WordPress is het meest gebruikte CMS ter wereld. Volgens W3Techs draait 39,6 procent van alle websites erop, ongeveer vier op de tien. Al die sites hebben één ding gemeen: WordPress is geschreven in PHP en heeft een server met PHP nodig om te werken. Een kritiek lek in PHP raakt daardoor niet één plugin of één thema, maar het fundament onder elke WordPress-site.
Dat maakt dit lek anders dan de WordPress-lekken die u misschien kent. Normaal zit een kwetsbaarheid in een plugin, en lost een update in het dashboard het op. Nu zit het probleem een laag dieper, in de software op de server. Daar kunt u vanuit het WordPress-dashboard niet bij.
Wie doet wat: u, uw hostingpartij of uw ontwikkelaar
Wie de update installeert, hangt af van hoe uw site wordt gehost. In de meeste gevallen is dat niet u. Wel bent u degene die moet nagaan of het ook echt gebeurt.
Wie werkt PHP bij, per soort WordPress-hosting
| Soort hosting | Wie werkt PHP bij | Wat u zelf doet |
|---|---|---|
| Gedeelde hosting bij een hostingpartij | De hostingpartij | Nagaan wanneer zij bijwerken en daarna testen |
| Managed WordPress-hosting | De aanbieder | Controleren of de nieuwe versie actief is |
| Eigen VPS of server | U of uw beheerpartij | De update zelf installeren of laten installeren |
| WordPress.com | WordPress.com | Meestal niets, de dienst beheert de server |
| Site gebouwd en beheerd door een bureau | Volgens uw onderhoudsafspraak | Uw bureau vragen of het is opgepakt |
Wat Nederlandse hostingpartijen zeggen
Een aantal hostingpartijen heeft al gecommuniceerd wat ze doen. Het overzicht hieronder is de stand van woensdagmiddag volgens De Zaak. Staat uw hostingpartij er niet bij, kijk dan op hun statuspagina of in uw e-mail.
Wat hostingpartijen communiceerden, stand 21 oktober rond 13.30 uur
| Hostingpartij | Wat ze doen | Moet u iets doen |
|---|---|---|
| Hostnet | Onderhoud van 16.00 tot 23.00 uur om PHP bij te werken | Volgens Hostnet niet |
| Antagonist | Noodmaatregel op alle servers, PHP wordt na de release bijgewerkt | Na de update testen |
| Vimexx | Werkt alle servers direct na de release bij | Alleen bij een eigen, onbeheerde server |
| Combell | Heeft maatregelen genomen | Na de update testen |
Vraag uw hostingpartij niet alleen of ze ermee bezig zijn. Vraag welke PHP-versie uw site nu gebruikt, wanneer de update wordt geïnstalleerd en of er tot die tijd extra bescherming actief is.
De stappen voor vandaag
- Zoek uw PHP-versie op
In het dashboard onder Gereedschap, Sitediagnose, tabblad Info, onderdeel Server. In het Engels heet dit Tools, Site Health. Noteer de versie.
- Maak een back-up
Van de bestanden en de database, en bewaar die buiten de server. Veel hostingpartijen bieden dit in het beheerpaneel.
- Vraag uw hostingpartij naar de planning
Wanneer installeren zij de update na de release van 16.00 uur, en wat doen ze tot die tijd om uw site te beschermen?
- Werk WordPress en plugins ook bij
Dit lost het PHP-lek niet op, maar een site die verder up-to-date is, is minder kwetsbaar en heeft minder kans dat de PHP-update iets breekt.
Kunt u de versie niet vinden in het dashboard, gebruik dan een van de vier manieren om uw PHP-versie te vinden. Laat geen bestand met phpinfo() op uw site staan: dat toont aan iedereen welke versie u draait.
Als uw site op een oude PHP-versie draait
Volgens de statistieken van WordPress.org draait ruim een derde van alle WordPress-sites, 36 procent, op PHP 8.1 of ouder. Die versies worden niet meer ondersteund. Dat komt vaak doordat een thema of plugin niet werkt op een nieuwere versie, en niemand de tijd had om dat uit te zoeken. Zolang de site het deed, leek dat geen probleem.
Bij dit lek wordt het wel een probleem. Een versie die niet meer wordt ondersteund, krijgt geen beveiligingsupdate. Uw hostingpartij kan die versie dus niet repareren, alleen vervangen. Het kan gebeuren dat uw hostingpartij een verouderde versie in zo'n geval zelf overzet naar een nieuwere. Dat beschermt uw site, maar kan onderdelen breken die alleen op de oude versie werkten.
Uw site draait op een verouderde PHP-versie. Vink aan wat geldt om te zien wat de verstandigste volgende stap is.
Eerst testen
Direct overzetten
Vink hierboven aan wat voor uw site geldt.
Eerst testen: 0Direct overzetten: 0
Na de update: zo controleert u uw site
Is de update geïnstalleerd, kijk dan opnieuw bij Sitediagnose of de nieuwe versie actief is. Test daarna wat voor uw bezoekers belangrijk is: de homepage, het contactformulier, inloggen en, als u een webshop heeft, een bestelling tot aan de betaalstap. Werkt er iets niet, zet dan niet zelf de oude PHP-versie terug, maar neem contact op met uw hostingpartij of ontwikkelaar.
Kijk tot slot of er sinds de aankondiging op 20 oktober iets is veranderd wat u niet herkent: nieuwe gebruikers met beheerrechten, onbekende plugins of bestanden, of pagina's die u niet heeft gemaakt. Ziet u zoiets, vervang dan alle wachtwoorden en schakel een specialist in.
Voor de achtergrond, de tijdlijn en welke organisaties hun site offline haalden, leest u het overzicht van het PHP-lek.
Het overzicht wordt opgehaald.
We meten vanaf een server van Appfront of de publieke homepage laadt. Inloggen met DigiD testen we niet. Een pagina die alleen een onderhoudsmelding toont, telt als niet normaal bereikbaar. Staat uw eigen platform op PHP en twijfelt u? Laat een developer meekijken.
websites draait op WordPress, volgens de metingen van W3Techs.
de ernstscore op 10 (CVSS 4.0) van elk van de twee PHP-lekken.
van de WordPress-sites draait op een PHP-versie die geen update meer krijgt, volgens WordPress.org.
Veelgestelde vragen
Over WordPress en het PHP-lek van oktober 2026.
Is mijn WordPress-site kwetsbaar voor het PHP-lek?
Mogelijk wel. WordPress draait op PHP, dus elke WordPress-site kan geraakt worden. Welke PHP-versies precies kwetsbaar zijn, maakt het PHP-securityteam bekend bij de release van de update.
Lost een WordPress-update het PHP-lek op?
Nee. Het lek zit in PHP op de server. Een update van WordPress, een thema of een plugin verandert niets aan PHP zelf.
Wie installeert de PHP-update voor mijn WordPress-site?
Bij gedeelde en managed hosting de hostingpartij. Heeft u een eigen VPS of server, dan doet u het zelf of uw beheerpartij.
Waar zie ik mijn PHP-versie in WordPress?
Onder Gereedschap, Sitediagnose, tabblad Info, onderdeel Server. In een Engelstalig dashboard is dat Tools, Site Health.
Kan de PHP-update mijn site breken?
Binnen dezelfde versie zelden. Wordt uw site overgezet van een verouderde naar een nieuwere PHP-versie, dan kunnen oude plugins of een maatwerkthema problemen geven. Test daarom na de update.
Moet ik mijn WordPress-wachtwoord wijzigen?
Niet standaard. Ziet u na de update tekenen van misbruik, zoals onbekende beheerders of bestanden, vervang dan alle wachtwoorden en schakel een specialist in.
Verder lezen
Het PHP-lek van oktober 2026
Wat er aan de hand is, welke sites offline zijn en de tijdlijn.
Lees verder ChecklistZo controleert u uw website
Uw PHP-versie vinden en beslissen of u offline gaat.
Lees verder WebshopWooCommerce-webshop laten maken
Een webshop op WordPress die goed onderhouden blijft.
Lees verderLiever dat iemand anders dit voor u regelt?
Appfront bouwt en onderhoudt websites en platforms, ook op WordPress. Wilt u weten of uw site op een veilige PHP-versie draait, of zoekt u een partij die updates als deze voortaan voor u oppakt? Plan een gesprek met een developer.