Beveiligingslek in PHP: de stand van zaken
Er is een ernstig beveiligingslek gevonden in PHP, de programmeertaal waarop vrijwel alle websites draaien, ook WordPress en WooCommerce. Op deze pagina lees je wat er aan de hand is, wat we voor jouw website hebben gedaan en wat je zelf moet doen.
Laatst bijgewerkt: 21 oktober 2026, 19:00 uur
Kort gezegd: op advies van het Nationaal Cyber Security Centrum (NCSC) hebben we uit voorzorg onze gedeelde servers (shared hosting) tijdelijk uitgezet. De update van PHP is inmiddels op al onze servers geïnstalleerd en alle servers draaien weer. Je e-mail is de hele tijd blijven werken. Host je jouw website bij ons, dan hoef je zelf niets te doen.
Stand van zaken
- GedaanWoensdag 21 oktober, 19:00
Alle servers gepatcht en weer online
De update van PHP staat nu op al onze servers, ook op de servers waarvoor we hem zelf moesten bouwen. Per server hebben we de websites gecontroleerd voordat hij weer aanging. Alle servers draaien weer. Merk je toch iets vreemds aan je website, laat het me dan direct weten via WhatsApp.
- GedaanWoensdag 21 oktober, vanaf 15:35
Update geïnstalleerd, het grootste deel van de servers draait weer
PHP bracht de noodupdate om 15:35 uit (versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12). We hebben hem server voor server geïnstalleerd, per server de websites gecontroleerd en de server pas daarna weer aangezet. Het grootste deel van onze servers draait inmiddels weer met de update.
- GedaanWoensdag 21 oktober, middag
Gedeelde servers uit voorzorg tijdelijk uitgezet
Het lek is groot in het nieuws en er worden inmiddels aanvallen gezien. Op advies van het Nationaal Cyber Security Centrum (NCSC) hebben we daarom al onze gedeelde servers (shared hosting) en de diensten daarop tijdelijk uitgezet, tot de update van PHP er is. Websites op die servers zijn zolang niet bereikbaar. Dit is puur uit voorzorg: we hebben geen sporen van een inbraak gevonden. Onze mailserver blijft aan, dus e-mail ontvangen en versturen werkt gewoon.
- GedaanWoensdag 21 oktober, ochtend
Alle servers beschermd en extra bewaakt
Op al onze servers hebben we het onderdeel van PHP uitgezet waar het lek volgens de eerste analyses in zit (de voortgangsmelding bij uploads). Dat sluit de bekendste aanvalsroute af, terwijl websites gewoon blijven werken: uploaden en formulieren doen het zoals altijd. Het is geen volledige oplossing; die komt pas met de update. Daarnaast controleren we alle servers elke vijf minuten op signalen van misbruik. In de logbestanden van al onze servers hebben we geen sporen van een geslaagde aanval gevonden.
- GedaanDinsdag 20 oktober
Details van het lek uitgelekt
De eerste details van twee kritieke lekken in PHP zelf werden openbaar voordat er een oplossing was. PHP kondigde daarop een noodupdate aan voor woensdag 21 oktober om 16:00.
Wat is er aan de hand?
Het gaat om twee kritieke lekken in PHP zelf, bekend als CVE-2026-109618 en CVE-2026-109619. De details lekten uit voordat er een oplossing was, en sinds woensdagochtend worden de eerste aanvallen gezien. Via zo'n lek kan een aanvaller mogelijk een website overnemen of er malware op plaatsen. Volgens de eerste berichten zit het lek in alle PHP-versies; overstappen naar een andere versie helpt dus niet. Alleen de update lost het op.
Moet je zelf iets doen?
- Jouw website staat bij ons: nee. Wij updaten alle servers en zetten ze daarna zelf weer aan.
- Je hebt een eigen server bij ons: nee, die werken we ook bij. Draai je zelf PHP-toepassingen die wij niet beheren, bijvoorbeeld in eigen Docker-containers, werk die dan na 16:00 ook bij.
- Jouw website staat ergens anders: vraag jouw hostingpartij of ze de PHP-update vandaag installeren. Lukt dat niet of twijfel je, neem dan gerust contact op.
Voor technici
De tijdelijke maatregel is session.upload_progress.enabled = 0 voor alle PHP-versies. Volgens een eerste publieke analyse zit de fout in de verwerking van de upload-voortgang van sessies; PHP heeft dat nog niet bevestigd, dus dit verkleint het risico, maar vervangt de update niet. Volgens de eerste analyses is er ook een tweede aanvalsroute die deze instelling niet afdekt; alleen de update van PHP lost beide op. Bronnen: de aankondiging van PHP en de uitwerking van Mattias Geniar.
Vragen?
Heb je een vraag of zie je iets vreemds op jouw website? Stuur ons gerust een bericht via WhatsApp; we reageren zo snel mogelijk, elke dag van 06:00 tot 24:00.