Gisteren schreven we dat de websites die wij hosten online bleven terwijl DigiD, MijnOverheid en de Tweede Kamer op zwart gingen. Vandaag is er meer bekend over de twee PHP-lekken: of ze worden misbruikt, wat ze precies doen en voor wie er géén oplossing komt. Hieronder de stand van zaken, in gewoon Nederlands.

Laatst bijgewerkt: vrijdag 23 oktober 2026, 00:30 uur. We werken dit bericht bij zolang het nieuws zich ontwikkelt.

Het lek heeft inmiddels een naam: PHP2Shell

De twee kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) gaan samen door het leven als PHP2Shell. Ze zitten in PHP zelf, niet in WordPress of in een plugin, en raken in principe elke website die op PHP draait. De bekendmaking stond gepland voor 22 oktober, maar de details lekten op 20 oktober uit via sociale media. Daarom bracht het PHP-team de patch een dag eerder uit dan gepland en haalden veel organisaties hun websites uit voorzorg offline.

De gerepareerde versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Draait je site op een van die versies, dan is dit lek voor jou gedicht.

Wordt het lek misbruikt?

Daar zijn de meningen vandaag over verschoven, en wel twee kanten op:

  • Het NCSC (Nationaal Cyber Security Centrum) meldde op 21 oktober nog geen aanwijzingen voor misbruik te hebben. Op 22 oktober liet het weten de eerste signalen van succesvol misbruik te onderzoeken.
  • Beveiligingsonderzoekers zagen via lokaas-servers aanvalspogingen binnenkomen. Tegelijk stelt het Utrechtse Sansec dat massaal misbruik minder waarschijnlijk is dan op de eerste dag gevreesd: de openbaar gedeelde aanvalscode werkt niet tegen een standaard PHP-installatie, en een aanval vereist specifieke kennis van de doelserver.
  • De Amerikaanse overheid (CISA) dringt aan op direct updaten, maar heeft de lekken (nog) niet op haar lijst van actief misbruikte kwetsbaarheden gezet.

Onze lezing: een gepatchte server is veilig, en een niet-gepatchte server is geen “kleine kans” maar een open deur waar inmiddels aan gerammeld wordt. Wachten is geen optie meer.

Meer dan alleen code uitvoeren: ook een geheugenlek

Een detail dat gisteren nog onderbelicht was: een van de twee lekken kan ook servergeheugen naar buiten lekken. Via een sessiecookie kan een aanvaller stukjes geheugen van de webserver terugkrijgen, en daarin kunnen wachtwoorden, sessietokens of API-sleutels van andere bezoekers zitten. Dat werkt zelfs op websites die helemaal geen sessies gebruiken.

Praktisch betekent dit: stond jouw website tussen 20 en 22 oktober op een server die niet gepatcht was, overweeg dan om wachtwoorden en API-sleutels die op die server in gebruik waren te vernieuwen. Niet omdat er zeker iets is gebeurd, maar omdat je het niet kunt uitsluiten.

Geen patch voor PHP 8.1 en ouder

Dit is misschien het belangrijkste punt voor veel ondernemers. PHP 8.1, 8.0 en alle 7.x-versies worden niet meer ondersteund en krijgen geen beveiligingsupdate. Een website op zo’n versie blijft kwetsbaar totdat de server naar PHP 8.2 of nieuwer is gebracht. Dat is geen kwestie van een knop omzetten: oude plugins en thema’s werken soms niet op een nieuwe PHP-versie, dus het moet getest worden.

Zo controleer je het zelf in WordPress: ga naar Hulpmiddelen → Site-diagnose → Info → Server. Daar staat de PHP-versie. Begint die met 8.2, 8.3, 8.4 of 8.5 en is het versienummer gelijk aan of hoger dan hierboven genoemd? Dan ben je gepatcht. Zie je 8.1 of lager, neem dan vandaag nog contact op met je hoster.

Wat wij hebben gedaan en blijven doen

  • Alle servers waarop wij hosten zijn op 21 oktober, dezelfde dag als de release, bijgewerkt naar een gepatchte PHP-versie.
  • Verploy, ons eigen onderhoudsplatform, controleerde na de update of elke klantsite nog correct werkte. Dat was overal het geval: geen enkele site is offline geweest.
  • We hebben in onze logboeken geen misbruik vastgesteld, en we blijven de komende dagen extra scherp monitoren op afwijkend verkeer.
  • Geen van onze klantsites draait op PHP 8.1 of ouder. Dat is geen toeval: het tijdig meenemen van PHP-upgrades is onderdeel van ons onderhoud.

Drie dingen die je vandaag kunt doen

  1. Check je PHP-versie (zie hierboven) of vraag het je hoster. Een goede hoster kan je direct vertellen wanneer er gepatcht is.
  2. Vernieuw wachtwoorden en API-sleutels als je site op een niet-gepatchte server heeft gestaan.
  3. Zorg dat dit de laatste keer is dat je het zelf moet uitzoeken. Een website hoort bewaakt te worden, niet één keer per jaar bekeken.

Weet je niet zeker hoe jouw site ervoor staat?

Laat hieronder het adres van je website achter. Je ontvangt per e-mail een kort, persoonlijk rapport: draait je site op een veilige PHP-versie, hoe staat het met snelheid en vindbaarheid, en wat zijn de drie verbeteringen met de meeste impact. Gratis en vrijblijvend.

Plan een gratis adviesgesprek   

Liever bellen? +31 (0)166 700204, ma–vr 9:00–17:30.

Bronnen: Sansec, PHP2Shell-analyse (bijgewerkt 22 oktober) · watchTowr, FAQ PHP2Shell · Help Net Security · Scientias · beveiligingsadvies php.net van 21 oktober 2026.