Kwetsbaarheden in PHP: status en updates
In de nacht van 20 op 21 oktober 2026 zijn details uitgelekt van twee kritieke kwetsbaarheden in PHP, de programmeertaal waarop een groot deel van alle websites draait. We bereiden alle websites voor op de beveiligingsupdate, zodat we die snel en met zo min mogelijk onderbreking kunnen installeren. Op deze pagina houden we je op de hoogte.
OpgelostLaatst bijgewerkt: 22 oktober 2026 om 10:08
Updates
Updates voor het Plesk-beheerpaneel afgerond
Ook de beveiligingsupdates voor alle Plesk-beheerpanelen zijn voor 10:00 uitgevoerd, en de laatste tests zijn afgerond. Alle websites werken weer op hun normale snelheid. Werkt jouw website niet zoals verwacht? Maak dan een ticket aan via support@it-gemak.nl, dan helpen onze engineers je zo snel mogelijk.
Updates voor het Plesk-beheerpaneel worden uitgevoerd
Vanochtend zijn er ook beveiligingsupdates uitgebracht voor het Plesk-beheerpaneel. Onze engineers voeren deze updates nu uit. Tijdens de updates kunnen websites tijdelijk iets trager reageren, omdat de updates een deel van de rekenkracht gebruiken. We verwachten de updates rond 10:00 af te ronden. We houden je hier op de hoogte.
Meer achtergrond over PHP2Shell
Wil je meer weten over de twee kwetsbaarheden in PHP, wat er precies aan de hand was en hoe het lek is uitgelekt? Tweakers heeft een uitgebreid overzicht gemaakt van wat er nu bekend is over PHP2Shell: tweakers.net/reviews/15504/wat-we-nu-weten-over-php2shell-de-twee-kwetsbaarheden-in-scriptingtaal-php.html
Alle websites zijn weer online
De beveiligingsupdate is geïnstalleerd en gecontroleerd, en alle websites zijn weer online. Werkt jouw website niet zoals verwacht? Dan gebruikte de website waarschijnlijk software die alleen werkt op een verouderde PHP-versie. Voor die oude versies is nog geen beveiligingsupdate beschikbaar, en daarom draaien alle websites nu op een ondersteunde, beveiligde PHP-versie. De website, bijvoorbeeld WordPress met de bijbehorende plugins en thema's, moet dan worden bijgewerkt naar een versie die op een nieuwere PHP-versie werkt. Daarna werkt alles weer zoals je gewend bent. Plesk werkt ook aan beveiligingsupdates voor de oudere PHP-versies en houdt de voortgang bij op support.plesk.com/hc/en-us/articles/44397729587351. Werkt jouw website niet? Maak dan een ticket aan via support@it-gemak.nl. Onze engineers helpen iedereen zo snel mogelijk. Via een ticket kunnen ze het probleem het snelst verhelpen, of je laten weten wat er moet gebeuren.
Websites komen weer online
De beveiligingsupdate is geïnstalleerd en de websites komen nu één voor één weer online. We verwachten dat alle websites binnen ongeveer 15 minuten weer bereikbaar zijn. Daarna voeren onze engineers de laatste controles uit. We houden je hier op de hoogte.
Plesk heeft de beveiligingsupdate beschikbaar gesteld
Plesk heeft de beveiligingsupdate voor beide kwetsbaarheden beschikbaar gesteld voor onze webservers. Voor PHP 8.2, de versie waarop alle websites draaien, is dat PHP 8.2.35. Onze engineers installeren en testen de update nu eerst op een testserver en zetten de uitrol naar de overige servers klaar. Is de test geslaagd, dan updaten we de operationele webservers en zetten we de websites weer online. We houden je hier op de hoogte.
PHP heeft de beveiligingsupdates uitgebracht, wachten op Plesk
De ontwikkelaars van PHP hebben de beveiligingsupdates voor beide kwetsbaarheden uitgebracht: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (bron: php.net/archive/2026.php). Onze webservers draaien op Plesk. Plesk levert de bijgewerkte PHP-versies zelf aan de servers, en voor onze servers is die update nog niet beschikbaar. Zodra Plesk de update beschikbaar stelt, installeren en controleren onze engineers hem direct en zetten we de websites weer online. Omdat alle websites al op PHP 8.2 draaien, kan dat zonder verdere voorbereiding. Tot die tijd blijven de websites uit voorzorg offline.
Waarom we eerst alle websites naar PHP 8.2 hebben overgezet
Direct nadat de kwetsbaarheden bekend werden, hebben we alle websites overgezet naar PHP 8.2 of hoger. De beveiligingsupdate komt alleen uit voor PHP 8.2 tot en met 8.5. Hadden we die overstap pas na het verschijnen van de update gedaan, dan waren de websites langer kwetsbaar gebleven voor misbruik van het lek. Omdat deze stap al is afgerond, kunnen we de update direct installeren en de websites daarna weer online zetten.
Informatiepagina staat klaar op alle websites
Bezoekers van de websites zien nu een informatiepagina in plaats van de standaard foutmelding. Daarop staat waarom de website tijdelijk niet bereikbaar is en dat die terugkomt zodra de beveiligingsupdate is geïnstalleerd en gecontroleerd. Onze engineers staan klaar voor de informatie over de beveiligingsupdate die de ontwikkelaars van PHP rond 16:00 verwachten te geven, zodat we direct aan de slag kunnen.
Ook grote Nederlandse websites uit voorzorg offline
Ruim twee derde van alle websites wereldwijd (69,3%) draait op PHP. Het is de basis onder onder meer WordPress, Joomla, Drupal en Magento. De PHP-ontwikkelaars wilden de beveiligingsupdates donderdag uitbrengen, maar afgelopen nacht lekte informatie over de kwetsbaarheden uit. De ontwikkelaars van PHP geven om 16:00 meer informatie en verwachten dan ook de updates uit te brengen. De tips die online rondgaan om het risico te beperken, lijken onvoldoende bescherming te bieden. Naast Tweakers zijn onder meer RTL Nieuws, MijnOverheid, DigiD en de website van de Tweede Kamer uit voorzorg offline gegaan.
Beveiligingsupdate van PHP nog niet beschikbaar
De ontwikkelaars van PHP werken nog aan de oplossing voor beide kwetsbaarheden en verwachten die rond 16:00 beschikbaar te stellen. Een definitieve bevestiging is er nog niet. Alle websites staan klaar op PHP 8.2, zodat we de update direct kunnen installeren zodra die verschijnt. We houden je hier op de hoogte.
Alle websites draaien op PHP 8.2
Alle websites zijn bijgewerkt en draaien nu op PHP 8.2. Daarmee zijn ze klaar voor de beveiligingsupdate van PHP, die rond 16:00 wordt verwacht. Onze engineers voeren de laatste controles uit. Ook zetten we een tijdelijke pagina klaar, die bezoekers te zien krijgen zolang een website tijdens de update niet bereikbaar is.
Snapshots gemaakt, websites worden klaargezet voor PHP 8.2
We hebben snapshots (volledige back-ups) gemaakt van alle webservers. Nu zetten we alle websites klaar voor PHP 8.2, zodat we de beveiligingsupdate van PHP, die naar verwachting vandaag rond 16:00 verschijnt, direct kunnen installeren. De websites zijn bereikbaar; tijdens de werkzaamheden kan een website kort onbereikbaar zijn.
Wat is er aan de hand?
Het gaat om CVE-2026-109618 en CVE-2026-109619, twee lekken in PHP zelf. Het PHP-beveiligingsteam beoordeelt beide als kritiek (CVSS 9.2).
Via de lekken kunnen aanvallers eigen webpagina’s publiceren en mogelijk malware verspreiden; de zogeheten PHP2Shell-exploit zou het ook mogelijk maken om eigen code uit te voeren op de server. Dat raakt elke website of webapplicatie op PHP, zoals WordPress, WooCommerce en Magento, hoe goed die zelf ook beveiligd is.
Wat doen wij?
- We hebben snapshots (volledige back-ups) gemaakt van alle webservers.
- We zetten alle websites klaar voor PHP 8.2. De ontwikkelaars van PHP brengen alleen voor PHP 8.2 tot en met 8.5 een beveiligingsupdate uit; oudere versies krijgen officieel geen update meer. Met deze stap kunnen we de update op elke website installeren.
- De ontwikkelaars van PHP werken nog aan de beveiligingsupdate en verwachten die op 21 oktober 2026 rond 16:00 (Nederlandse tijd) uit te brengen. Die update is de enige echte oplossing. Omdat de websites dan al klaarstaan, installeren we hem direct, server voor server, en houden we de onderbreking zo kort mogelijk.
- Tot de update beschikbaar is, schakelen we PHP uit op de webservers, zodat de lekken niet misbruikt kunnen worden. Bezoekers zien in die periode een tijdelijke informatiepagina.
- Na de update controleren we per website of de lekken gedicht zijn en of alles goed werkt, en zetten we de website weer online.
Wat betekent dit voor jou?
Tijdens de overstap naar PHP 8.2 bleef je website online. Zolang PHP is uitgeschakeld, is je website niet bereikbaar en zien bezoekers een informatiepagina. Zodra de beveiligingsupdate is geïnstalleerd en gecontroleerd, staat je website weer online.
Gaat er tijdens de werkzaamheden iets mis, dan zetten we de snapshot terug. Je website staat dan weer zoals op het moment van de snapshot; wijzigingen die daarna zijn gedaan, zoals nieuwe berichten, bestellingen of formulierinzendingen, kunnen dan verloren gaan. Stel grote wijzigingen aan je website daarom liever uit tot de werkzaamheden klaar zijn.
We melden elke stap hieronder.
Vragen? Bel onze servicedesk op 030 73 70 836 of mail naar info@it-gemak.nl.
Je bent niet de enige
Bijna 70% van alle websites wereldwijd (69,3%) draait op PHP, van kleine bedrijfssites tot grote webshops. Deze kwetsbaarheden raken dus websites over de hele wereld, en hostingpartijen en beheerders overal werken vandaag aan dezelfde update.
Waarom is it-gemak.nl wel bereikbaar?
Onze eigen website is gebouwd met Node.js en gebruikt geen PHP. Deze kwetsbaarheden zitten in PHP zelf, dus it-gemak.nl heeft er geen last van en blijft gewoon bereikbaar.
Bronnen: PHP, Sansec, Patchstack, W3Techs