Kwetsbaarheden in PHP: status en updates
In de nacht van 20 op 21 oktober 2026 zijn details uitgelekt van twee kritieke kwetsbaarheden in PHP, de programmeertaal waarop een groot deel van alle websites draait. We bereiden alle websites voor op de beveiligingsupdate, zodat we die snel en met zo min mogelijk onderbreking kunnen installeren. Op deze pagina houden we je op de hoogte.
Maatregel genomenLaatst bijgewerkt: 21 oktober 2026 om 16:26
Updates
PHP heeft de beveiligingsupdates uitgebracht, wachten op Plesk
De ontwikkelaars van PHP hebben de beveiligingsupdates voor beide kwetsbaarheden uitgebracht: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (bron: php.net/archive/2026.php). Onze webservers draaien op Plesk. Plesk levert de bijgewerkte PHP-versies zelf aan de servers, en voor onze servers is die update nog niet beschikbaar. Zodra Plesk de update beschikbaar stelt, installeren en controleren onze engineers hem direct en zetten we de websites weer online. Omdat alle websites al op PHP 8.2 draaien, kan dat zonder verdere voorbereiding. Tot die tijd blijven de websites uit voorzorg offline.
Waarom we eerst alle websites naar PHP 8.2 hebben overgezet
Direct nadat de kwetsbaarheden bekend werden, hebben we alle websites overgezet naar PHP 8.2 of hoger. De beveiligingsupdate komt alleen uit voor PHP 8.2 tot en met 8.5. Hadden we die overstap pas na het verschijnen van de update gedaan, dan waren de websites langer kwetsbaar gebleven voor misbruik van het lek. Omdat deze stap al is afgerond, kunnen we de update direct installeren en de websites daarna weer online zetten.
Informatiepagina staat klaar op alle websites
Bezoekers van de websites zien nu een informatiepagina in plaats van de standaard foutmelding. Daarop staat waarom de website tijdelijk niet bereikbaar is en dat die terugkomt zodra de beveiligingsupdate is geïnstalleerd en gecontroleerd. Onze engineers staan klaar voor de informatie over de beveiligingsupdate die de ontwikkelaars van PHP rond 16:00 verwachten te geven, zodat we direct aan de slag kunnen.
Ook grote Nederlandse websites uit voorzorg offline
Ruim twee derde van alle websites wereldwijd (69,3%) draait op PHP. Het is de basis onder onder meer WordPress, Joomla, Drupal en Magento. De PHP-ontwikkelaars wilden de beveiligingsupdates donderdag uitbrengen, maar afgelopen nacht lekte informatie over de kwetsbaarheden uit. De ontwikkelaars van PHP geven om 16:00 meer informatie en verwachten dan ook de updates uit te brengen. De tips die online rondgaan om het risico te beperken, lijken onvoldoende bescherming te bieden. Naast Tweakers zijn onder meer RTL Nieuws, MijnOverheid, DigiD en de website van de Tweede Kamer uit voorzorg offline gegaan.
Beveiligingsupdate van PHP nog niet beschikbaar
De ontwikkelaars van PHP werken nog aan de oplossing voor beide kwetsbaarheden en verwachten die rond 16:00 beschikbaar te stellen. Een definitieve bevestiging is er nog niet. Alle websites staan klaar op PHP 8.2, zodat we de update direct kunnen installeren zodra die verschijnt. We houden je hier op de hoogte.
Alle websites draaien op PHP 8.2
Alle websites zijn bijgewerkt en draaien nu op PHP 8.2. Daarmee zijn ze klaar voor de beveiligingsupdate van PHP, die rond 16:00 wordt verwacht. Onze engineers voeren de laatste controles uit. Ook zetten we een tijdelijke pagina klaar, die bezoekers te zien krijgen zolang een website tijdens de update niet bereikbaar is.
Snapshots gemaakt, websites worden klaargezet voor PHP 8.2
We hebben snapshots (volledige back-ups) gemaakt van alle webservers. Nu zetten we alle websites klaar voor PHP 8.2, zodat we de beveiligingsupdate van PHP, die naar verwachting vandaag rond 16:00 verschijnt, direct kunnen installeren. De websites zijn bereikbaar; tijdens de werkzaamheden kan een website kort onbereikbaar zijn.
Wat is er aan de hand?
Het gaat om CVE-2026-109618 en CVE-2026-109619, twee lekken in PHP zelf. Het PHP-beveiligingsteam beoordeelt beide als kritiek (CVSS 9.2).
Via de lekken kunnen aanvallers eigen webpagina’s publiceren en mogelijk malware verspreiden; de zogeheten PHP2Shell-exploit zou het ook mogelijk maken om eigen code uit te voeren op de server. Dat raakt elke website of webapplicatie op PHP, zoals WordPress, WooCommerce en Magento, hoe goed die zelf ook beveiligd is.
Wat doen wij?
- We hebben snapshots (volledige back-ups) gemaakt van alle webservers.
- We zetten alle websites klaar voor PHP 8.2. De ontwikkelaars van PHP brengen alleen voor PHP 8.2 tot en met 8.5 een beveiligingsupdate uit; oudere versies krijgen officieel geen update meer. Met deze stap kunnen we de update op elke website installeren.
- De ontwikkelaars van PHP werken nog aan de beveiligingsupdate en verwachten die op 21 oktober 2026 rond 16:00 (Nederlandse tijd) uit te brengen. Die update is de enige echte oplossing. Omdat de websites dan al klaarstaan, installeren we hem direct, server voor server, en houden we de onderbreking zo kort mogelijk.
- Tot de update beschikbaar is, schakelen we PHP uit op de webservers, zodat de lekken niet misbruikt kunnen worden. Bezoekers zien in die periode een tijdelijke informatiepagina.
- Na de update controleren we per website of de lekken gedicht zijn en of alles goed werkt, en zetten we de website weer online.
Wat betekent dit voor jou?
Tijdens de overstap naar PHP 8.2 bleef je website online. Zolang PHP is uitgeschakeld, is je website niet bereikbaar en zien bezoekers een informatiepagina. Zodra de beveiligingsupdate is geïnstalleerd en gecontroleerd, staat je website weer online.
Gaat er tijdens de werkzaamheden iets mis, dan zetten we de snapshot terug. Je website staat dan weer zoals op het moment van de snapshot; wijzigingen die daarna zijn gedaan, zoals nieuwe berichten, bestellingen of formulierinzendingen, kunnen dan verloren gaan. Stel grote wijzigingen aan je website daarom liever uit tot de werkzaamheden klaar zijn.
We melden elke stap hieronder.
Vragen? Bel onze servicedesk op 030 73 70 836 of mail naar info@it-gemak.nl.
Je bent niet de enige
Bijna 70% van alle websites wereldwijd (69,3%) draait op PHP, van kleine bedrijfssites tot grote webshops. Deze kwetsbaarheden raken dus websites over de hele wereld, en hostingpartijen en beheerders overal werken vandaag aan dezelfde update.
Waarom is it-gemak.nl wel bereikbaar?
Onze eigen website is gebouwd met Node.js en gebruikt geen PHP. Deze kwetsbaarheden zitten in PHP zelf, dus it-gemak.nl heeft er geen last van en blijft gewoon bereikbaar.
Bronnen: PHP, Sansec, Patchstack, W3Techs