Draait je site op een veilige PHP‑versie?
In PHP, de programmeertaal onder WordPress, zitten twee kritieke lekken, en de eerste aanvallen zijn al gezien. Vul je adres in: je ziet welke PHP‑versie je site gebruikt, of hij op WordPress draait en wat je vandaag moet doen.
We lezen alleen wat je pagina aan iedere bezoeker laat zien. Het adres slaan we niet op.
Wat is er aan de hand?
In PHP, de programmeertaal waar WordPress en veel andere websites op draaien, zitten twee kritieke lekken. Via die lekken kan een aanvaller op afstand een server overnemen, zonder in te loggen. PHP geeft beide lekken een ernstscore van 9,2 op 10.
De details hoorden geheim te blijven tot de update klaar was, en lekten toch al uit. Cloudflare zag op 21 oktober in de ochtend de eerste aanvallen binnenkomen.
Op 21 oktober bracht PHP een spoedupdate uit voor de versies die nog ondersteund worden: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens PHP is er geen volledige tijdelijke oplossing en is bijwerken de enige veilige keuze. Voor PHP 8.1 en ouder komt er geen officiële oplossing, meldt beveiligingsbedrijf Sansec.
Voor een WordPress-site is zo'n spoedupdate geen uitzondering. De site leunt op PHP, op WordPress zelf en op elke plugin die ooit is geïnstalleerd, en al die onderdelen moeten bijgehouden worden.
Wat je vandaag doet
- Stap 1
Laat PHP bijwerken
Vraag je hostingpartij of websitebeheerder om de spoedupdate vandaag te installeren. Dat is PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35, afhankelijk van je versie.
- Stap 2
Check je PHP‑versie
Draait je site op PHP 8.1 of ouder? Daar komt geen oplossing voor. Stap dan over naar PHP 8.3 of nieuwer.
- Stap 3
Lukt dat niet direct?
CERT‑EU, de cyberdienst van de Europese instellingen, adviseert de site dan tijdelijk offline te halen.
Welke versies nog updates krijgen
De spoedupdate is er voor elke versie die PHP nog ondersteunt. Bron: php.net, gecontroleerd op 21 oktober 2026.
| Versie | Status | Beveiligingsupdates tot |
|---|---|---|
| PHP 8.5 | Volledige ondersteuning | 31 december 2029 |
| PHP 8.4 | Volledige ondersteuning | 31 december 2028 |
| PHP 8.3 | Alleen beveiligingsupdates | 31 december 2027 |
| PHP 8.2 | Alleen beveiligingsupdates | 31 december 2026 |
| PHP 8.1 en ouder | Geen updates meer | Verlopen |
Hoe de check werkt
-
Wat de check leest
De headers en de HTML van de pagina die je invult. Draait de site op WordPress en zien we de PHP‑versie niet, dan vragen we ook /wp‑json/ op, het openbare adres van de WordPress‑API.
-
Waarom de versie vaak ontbreekt
Veel hostingpartijen verbergen de PHP‑versie, en caches halen hem vaak weg. Dat is normaal. Zekerheid geeft alleen je hostingpartij of websitebeheerder.
-
Wat de check niet doet
We zoeken niet naar lekken, loggen nergens in en slaan het adres dat je invult niet op.
Liever een site zonder PHP?
Wij bouwen websites die zonder PHP‑server draaien. Een lek als dit raakt die sites niet, er zijn geen plugins om bij te houden en de teksten pas je zelf aan. Ze zijn ook ingericht om gevonden te worden in Google en in AI‑assistenten zoals ChatGPT.
Veelgestelde vragen
Hoe zie ik welke PHP‑versie mijn website gebruikt?
Vul je adres in bovenaan deze pagina. Laat je server de versie zien, dan staat hij in het resultaat. Is hij niet zichtbaar, dan weet je hostingpartij het. Vaak staat de versie ook in het beheerpaneel van je hostingpakket.
Is mijn site veilig als de check geen versie vindt?
Dat weet je dan nog niet. De check ziet alleen wat je pagina openbaar laat zien, en een verborgen versie kan nog steeds oud zijn. Vraag het na bij je hostingpartij of websitebeheerder.
Welke PHP‑versies hebben de spoedupdate?
De spoedupdate is uitgekomen als PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Draait je server bijvoorbeeld op PHP 8.3, dan heb je 8.3.36 of nieuwer nodig. Voor PHP 8.1 en ouder komt er volgens beveiligingsbedrijf Sansec geen officiële oplossing. Die versies krijgen al geen updates meer.
Om welke lekken gaat het?
Om CVE-2026-109618 en CVE-2026-109619, ook wel PHP2Shell genoemd. PHP geeft beide een ernstscore van 9,2 op 10. Meer achtergrond lees je bij IO+.
Wat doen jullie met het adres dat ik invul?
We halen de pagina één keer op voor de check en slaan het adres niet op. Vraag je de gratis analyse aan, dan krijgt ons team je gegevens en het resultaat van de check.
Kan AI Heroes mijn website vervangen?
Ja. We bouwen websites die zonder PHP‑server draaien, zonder plugins om bij te houden. De teksten pas je zelf aan, en de site is ingericht om gevonden te worden in Google en in AI‑assistenten zoals ChatGPT. Vraag de gratis analyse aan, dan kijken we wat er voor jouw site nodig is.
Vraag de gratis analyse aan
Laat het adres van je site achter. We bekijken de techniek, het onderhoud en hoe goed de site gevonden wordt in Google en AI‑assistenten. Binnen 24 uur hoor je van ons.
