Op 20 oktober 2026 kondigde het PHP-beveiligingsteam twee kritieke lekken aan in PHP, de programmeertaal onder onder meer WordPress, Joomla, Drupal en Magento. Via de lekken kan een aanvaller mogelijk zonder inlog code uitvoeren op een server. In Nederland gingen daarom op 21 oktober onder meer DigiD, MijnOverheid en de site van de Tweede Kamer uit voorzorg offline. PHP brengt de beveiligingsupdate uit op 21 oktober om 16.00 uur Nederlandse tijd.
Wat is er aan de hand met PHP?
PHP2Shell is de naam voor twee kritieke kwetsbaarheden in PHP zelf: CVE-2026-109618 en CVE-2026-109619. Het PHP-beveiligingsteam geeft beide een score van 9,2 op de CVSS-schaal (versie 4.0), en volgens CERT-EU wijst dat op het op afstand uitvoeren van code zonder in te loggen. Het bijzondere aan deze lekken is de volgorde. Details lekten uit vóórdat er een oplossing was, terwijl zo'n lek normaal pas openbaar wordt samen met de update. Op 20 oktober kondigde PHP op php.net daarom een extra beveiligingsrelease aan voor woensdag 21 oktober om 14.00 uur UTC, 16.00 uur in Nederland. Welke PHP-versies precies geraakt zijn, maakt PHP pas bij die release bekend. Berichten dat alle versies vanaf PHP 5 kwetsbaar zijn, zijn op het moment van schrijven niet door PHP bevestigd. Wel staat vast dat alleen de ondersteunde reeksen (PHP 8.2 tot en met 8.5) een update krijgen.
Welke websites gingen offline in Nederland?
Op 21 oktober 2026 haalde een reeks Nederlandse organisaties hun websites uit voorzorg offline, volgens de NOS onder meer MijnOverheid, DigiD en de Tweede Kamer. Daarnaast gingen de site en app van RTL Nieuws, Tweakers, het Nationaal Cyber Security Centrum (NCSC) en de Autoriteit Persoonsgegevens uit de lucht. Ook Notubiz, het vergadersysteem dat ongeveer 100 gemeenten gebruiken, werd uitgeschakeld, net als systemen in het hoger onderwijs en bij persbureau ANP. Het NCSC zegt het zo: "Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar." Met "dat" bedoelt het NCSC de update. Belangrijk om te weten: de meeste van deze sites zijn niet gehackt. Ze zijn bewust offline gehaald, omdat afsluiten de enige zekere bescherming is zolang er geen update is. Dat is een verstandige keuze, maar voor organisaties die van hun site leven ook een dure.
Wordt het PHP-lek al misbruikt?
Over misbruik lopen de berichten uiteen, en op 21 oktober 2026 rond het middaguur was grootschalig misbruik niet bevestigd. Het NCSC had nog geen actief misbruik gezien, en securitybedrijf Huntress meldde hetzelfde voor de omgevingen van zijn klanten. Volgens The Hacker News stonden de lekken ook nog niet in de lijst met actief misbruikte kwetsbaarheden van het Amerikaanse CISA. Tegelijk zegt Cloudflare de eerste aanvallen te zien, die zijn firewall volgens eigen zeggen tegenhoudt, en meldt Patchstack signalen van misbruik bij meerdere hostingpartners. Securitybedrijf Sansec verwacht massale aanvallen kort nadat de technische details volledig openbaar zijn. Voor een websiteeigenaar betekent dat: ga uit van een reëel risico, ook als je site nu nog normaal werkt. Een lek met een score van 9,2 dat al deels uitgelekt is, wordt meestal snel misbruikt zodra iemand de werkende aanvalscode deelt. Wacht dus niet af tot er een melding van misbruik in het nieuws komt.
Is jouw website geraakt door het PHP-lek?
Je website is mogelijk geraakt als hij op PHP draait, en dat geldt voor een groot deel van het web: volgens BNR raken de lekken ongeveer 70% van alle websites. PHP zit onder 1) WordPress en WooCommerce, 2) Joomla, Drupal en Magento, en 3) veel maatwerk op Laravel of Symfony. Ook een eenvoudige site bij een webhoster draait vaak op PHP zonder dat de eigenaar dat weet. Je controleert het in drie stappen. Ten eerste: kijk in het beheer van je hostingpakket welke PHP-versie je site gebruikt, of vraag het je hostingpartij. Ten tweede: kijk of je site een CMS gebruikt; staat er "/wp-admin" achter je domein, dan is het WordPress. Ten derde: draait je site op een oude PHP-versie zoals 7.4 of 5.6, dan komt er geen update en moet je upgraden of migreren. Een site die met Next.js, een ander JavaScript-framework of als statische site is gebouwd, draait niet op PHP en valt buiten deze twee lekken.
Wat moet je nu doen als je site op PHP draait?
Als je site op PHP draait, update je PHP zo snel mogelijk na de release van 21 oktober 2026 om 16.00 uur, en tot die tijd beperk je het risico. Stap 1: vraag je hostingpartij of zij PHP zelf bijwerken; bij beheerde hosting gebeurt dat vaak automatisch. Stap 2: draai je zelf een server, installeer dan de nieuwe PHP-versie zodra php.net die publiceert. Linux-distributies passen de oplossing soms toe zonder het versienummer te veranderen, dus controleer de beveiligingsmelding van je distributie. Stap 3: draai je een PHP-versie zonder ondersteuning, plan dan direct een upgrade naar PHP 8.2 of nieuwer. Stap 4: zet tot de update een webfirewall zoals die van Cloudflare voor je site, of zet de site tijdelijk in onderhoudsstand als hij gevoelige gegevens verwerkt. Stap 5: controleer na de update je logbestanden en de bestanden op de server op onbekende scripts. Werk daarna ook WordPress, thema's en plugins bij.
Draaien websites van VirtuoLab op PHP?
Websites en web apps die VirtuoLab met Next.js bouwt, draaien niet op PHP en zijn dus niet geraakt door CVE-2026-109618 en CVE-2026-109619. Ook virtuolab.dev zelf draait op Next.js 16 met Node.js, en bleef op 21 oktober gewoon online. Eerlijk is wel dat VirtuoLab ook WordPress- en WooCommerce-plugins bouwt, en die draaien op de PHP-server van de klant. Heb je zo'n plugin, dan is de plugin zelf niet het probleem, maar moet de PHP-versie van je hosting worden bijgewerkt; VirtuoLab helpt daar graag mee. Even eerlijk: geen enkele techniek is immuun. In december 2025 had React, de basis van Next.js, een eigen kritiek lek (CVE-2025-55182, score 10,0), dat binnen dagen gepatcht was. Het verschil zit in twee dingen: 1) hoe weinig onderdelen er aan het internet hangen, en 2) hoe snel je bijwerkt. Een site op maat zonder plugins van derden heeft minder deuren die openstaan.
Moet je nu overstappen van WordPress naar Next.js?
Nee, een lek in PHP is op zichzelf geen reden om in paniek over te stappen; de eerste stap is altijd bijwerken. WordPress draait een groot deel van het web en krijgt snel updates, en voor een team dat er dagelijks mee werkt, blijft het een goede keuze. Overstappen naar een site op maat met Next.js is wel het overwegen waard als 1) je site veel plugins heeft die je niet zelf bijhoudt, 2) je site belangrijk is voor je omzet en een dag offline veel kost, of 3) je hostingpartij PHP traag bijwerkt. Volgens Patchstack zat in 2025 91% van de WordPress-kwetsbaarheden in plugins, niet in WordPress zelf. Een site op maat heeft minder van die losse onderdelen. Bij VirtuoLab kost een bedrijfswebsite in Next.js vanaf €2000 en een web app vanaf €5000, met een vaste prijs vooraf. Twijfel je wat het beste past, dan hoor je dat eerlijk in een gratis kennismaking, ook als het advies is om bij WordPress te blijven.
Hulp nodig?
Twijfel je of jouw website op PHP draait, of wil je weten wat je nu moet doen? Plan een gratis kennismaking met VirtuoLab. Je spreekt direct met de developer zelf, Mustafa Kose: bel +31 6 43913632 of mail naar info@virtuolab.dev. Samen kijken we welke techniek je site gebruikt, of er iets moet gebeuren, en hoe je site daarna minder kwetsbaar wordt.