Kritieke PHP-beveiligingslekken: wat betekent dit voor jouw website of webshop?

Wat is er op 21 oktober 2026 bekend geworden?

Het PHP-securityteam heeft op 20 oktober 2026 een kritieke beveiligingsupdate aangekondigd. Die update verschijnt op woensdag 21 oktober 2026 om 14:00 UTC (16:00 uur Nederlandse tijd) en verhelpt twee kritieke kwetsbaarheden. Beide hebben een CVSS v4.0-score van 9.2, op een schaal tot 10. PHP houdt zich het recht voor om eerder te publiceren als details uitlekken of als er misbruik wordt gezien.

De kwetsbaarheden zijn bekend onder de nummers CVE-2026-109618 en CVE-2026-109619. Volgens beveiligingsonderzoekers gaat het om lekken waarmee een aanvaller op afstand code kan uitvoeren op een server (remote code execution). Details lekten al uit voordat de update klaar was. Het Britse National Cyber Security Centre (NCSC) roept organisaties op om zich voor te bereiden op direct updaten.

Welke PHP-versies precies kwetsbaar zijn en welke versies de oplossing bevatten, maakt PHP pas bekend bij de release. Tot die tijd zijn de berichten over getroffen versies onbevestigd.

Waarom is PHP belangrijk voor WordPress en webshops?

PHP is de programmeertaal waarop een groot deel van het web draait. WordPress, WooCommerce, Magento en veel andere CMS- en webshopsystemen zijn in PHP geschreven. Draait jouw website of webshop op WordPress, dan draait hij vrijwel zeker op PHP. Ook beheerpanelen en andere software van hostingpartijen gebruiken PHP.

Een lek in PHP zelf raakt dus niet één plugin of thema, maar de basis waarop de website draait.

Wat kunnen deze kwetsbaarheden betekenen?

Met remote code execution kan een aanvaller in het ergste geval eigen code op de webserver uitvoeren. Mogelijke gevolgen zijn:

• malware of verborgen bestanden (zogenoemde webshells) op de server;
• toegang tot gegevens in de website en database, zoals klant- of bestelgegevens;
• misbruik van de server voor spam of aanvallen op anderen;
• doorverwijzingen naar malafide websites.

Hoe makkelijk misbruik is en onder welke voorwaarden het werkt, is op het moment van schrijven nog niet officieel bekend. Er is ook nog geen bevestigd misbruik in de praktijk gemeld. Omdat de details al deels zijn uitgelekt, is de kans groot dat aanvallers snel na publicatie gaan scannen naar kwetsbare websites.

Waarom haalde CCV Shop webshops preventief offline?

[WACHT OP BRON – tekst van het CCV Shop-klantbericht nodig; deze alinea wordt pas ingevuld als het bericht is gecontroleerd.]

Preventief offline halen is een maatregel die het NCSC zelf ook noemt: kun je een systeem niet direct beschermen, overweeg dan om het offline te halen tot de update is geïnstalleerd. Zo deed bijvoorbeeld ook het rekencentrum van de Universiteit van Freiburg dat op 21 oktober uit voorzorg met een aantal centrale systemen.

Waarom hoeft niet iedere website automatisch offline?

Offline halen kost omzet, aanvragen en vindbaarheid. Of het nodig is, hangt af van de situatie:

• Kan de server direct worden bijgewerkt? Als de hostingpartij de PHP-update snel na de release installeert, is de periode waarin de site kwetsbaar is kort.
• Welke PHP-versie draait er? Naar verwachting krijgen alleen ondersteunde PHP-versies een officiële update (op dit moment PHP 8.2 tot en met 8.5). Websites op oudere versies, zoals PHP 7.4 of 8.0, hebben het hoogste risico.
• Wat staat er op het spel? Een webshop met betalingen of een klantportaal met persoonsgegevens vraagt om strengere maatregelen dan een eenvoudige informatieve website.
• Zijn er tijdelijke beschermingsmaatregelen mogelijk? Denk aan extra filtering via een firewall (WAF) of het tijdelijk afschermen van onderdelen.

Het gaat om een afweging per website. Bij een acuut risico zonder patch kan tijdelijk offline halen wel de verstandigste keuze zijn.

Welke maatregelen moet je nu nemen?

1. Breng in kaart waar PHP draait. Welke websites, webshops en tools heb je, en op welke PHP-versie draaien ze? Begin bij systemen die vanaf internet bereikbaar zijn.
2. Vraag je hostingpartij of websitebeheerder wanneer de PHP-update wordt geïnstalleerd.
3. Zorg voor een recente, herstelbare back-up van bestanden en database, opgeslagen buiten de server, voordat er iets wordt aangepast.
4. Installeer de update zodra hij beschikbaar is, getest en gecontroleerd. Let ook op updates van leveranciers die PHP in hun software meeleveren.
5. Werk verouderde PHP-versies bij. Draait je site op een versie die geen updates meer krijgt, plan dan een upgrade en test eerst of WordPress, plugins en thema's daarmee werken.
6. Let op signalen van misbruik: onbekende bestanden, nieuwe beheerders, vreemde doorverwijzingen of waarschuwingen van Google of je hostingpartij.

Waarom actuele PHP-versies, monitoring en back-ups belangrijk zijn

Dit soort lekken laat zien waarom technisch onderhoud geen bijzaak is. Een ondersteunde PHP-versie krijgt beveiligingsupdates, een verouderde versie niet. Monitoring zorgt dat je verdachte wijzigingen snel ziet. Goede back-ups, extern opgeslagen en getest, zorgen dat je kunt herstellen als het toch misgaat.

Hoe BDMNL klanten helpt

BDMNL beheert websites en webshops voor ondernemers en organisaties. Voor de websites die wij beheren, brengen we de PHP-versies en back-ups in kaart en bereiden we de updates voor. Updates voeren we gecontroleerd uit, in overleg en na een back-up. Daarna controleren we of formulieren, webshops en klantportalen weer goed werken. Waar een website op een verouderde PHP-versie draait, adviseren we over een veilige upgrade.

Lees ook: WordPress beveiligen: de belangrijkste maatregelen.

Hulp nodig bij de beveiliging van jouw website?

Twijfel je of jouw website of webshop risico loopt, of wil je dat wij de updates en controles voor je uitvoeren? Neem contact op met BDMNL.

Bronnen

• PHP.net – Upcoming Critical PHP Security Release (20 oktober 2026)
• NCSC (VK) – Critical security issue affecting PHP (21 oktober 2026)

Dit artikel wordt bijgewerkt zodra PHP de getroffen en herstelde versies publiceert.

‍

Maak altijd eerst een volledige back-up (bestanden en database) voordat de PHP-versie wordt aangepast.