Spoedupdate voor twee kritieke lekken in PHP

Het beveiligingsteam van PHP brengt op woensdag 21 oktober 2026 om 14:00 UTC een spoedupdate uit. In Nederland is dat 16:00. De update dicht twee kritieke lekken. Dat staat in de aankondiging op php.net van 20 oktober 2026. PHP is de programmeertaal waarop WordPress, WooCommerce, Joomla en veel andere websites draaien, dus dit raakt een groot deel van de websites van kleine bedrijven. Gegevens over de lekken lekten een dag eerder uit, en beveiligingsbedrijven verwachten dat aanvallers snel na de update gaan zoeken naar servers die nog niet bijgewerkt zijn.

Stand van zaken op de ochtend van 21 oktober 2026: de update zelf is nog niet uit, de aankondiging op php.net is het laatste woord van PHP.

Wat er gebeurde

PHP schrijft in de aankondiging van 20 oktober 2026 dat beide lekken een score van 9,2 krijgen op de CVSS-schaal (versie 4.0), die tot 10 loopt. Welke versies geraakt zijn en welke versies de oplossing bevatten, maakt PHP pas bekend bij de update zelf. Het team houdt zich het recht voor om eerder uit te brengen als de details openbaar worden of als er aanvallen worden gezien.

Dat de aankondiging een dag vooruit kwam, heeft een reden. Volgens BleepingComputer van 20 oktober 2026 verscheen die dag een bericht op Hacker News over twee lekken in PHP die op 22 oktober openbaar zouden worden. Het bericht is inmiddels verwijderd. Beveiligingsbedrijf watchTowr bevestigde tegenover BleepingComputer dat de lekken echt zijn, dat een aanvaller er code mee op de server kan uitvoeren en dat het een van de twee zelf kon nabootsen. Aanvallen in het wild had watchTowr toen nog niet gezien.

Sansec, een bedrijf dat webwinkels beveiligt, schrijft op 21 oktober 2026 dat alle webservers met PHP 5.4 of nieuwer geraakt zijn. Dat volgt uit een schermafbeelding van een aanvalsprogramma die met de uitgelekte informatie meekwam. PHP zelf heeft dat niet bevestigd. Sansec verwacht massale aanvallen binnen een kwartier na de update, omdat aanvallers dan kunnen zien wat er veranderd is. Het lek zit volgens Sansec in PHP zelf, vóór WordPress of een webwinkel aan de beurt is. Een plugin of een update van je CMS lost het dus niet op.

Wat betekent dit voor jouw website

De eerste vraag is of je site op PHP draait. Bij WordPress, WooCommerce, Joomla, Drupal, Magento en PrestaShop is dat zo. Bij een sitebouwer zoals Wix, Squarespace of Shopify beheer je de server niet zelf; daar is het de taak van de aanbieder en hoef je niets te doen.

Draait je site op PHP, dan hangt de rest af van wie de server beheert:

1. Gedeelde hosting of beheerde WordPress-hosting (de meeste kleine bedrijven). Je host installeert de update, niet jij. Kijk op de statuspagina of in de mail van je host of ze de nieuwe PHP-versie direct uitrollen. Staat er niets, vraag het dan.
2. Een eigen VPS of server. Installeer de nieuwe PHP-versie zodra je pakketbron hem heeft, en herstart daarna PHP-FPM of de webserver. Pas na die herstart draait de nieuwe versie echt.
3. Een webbouwer of bureau beheert je site. Vraag of zij dit direct oppakken en wanneer.

Kijk ook welke PHP-versie je site gebruikt. In WordPress staat dat onder Hulpmiddelen, Sitediagnose, tabblad Info, onderdeel Server. Alleen PHP 8.2, 8.3, 8.4 en 8.5 krijgen nog beveiligingsupdates, staat op de pagina met ondersteunde versies van php.net. PHP 8.1 en ouder krijgen geen officiële oplossing, en 8.1 is sinds 31 december 2025 niet meer ondersteund. Dat is geen kleine groep: volgens de statistieken van WordPress.org, opgevraagd op 21 oktober 2026, draait 36,4 procent van de WordPress-sites op PHP 8.1 of ouder, waarvan 16,1 procent op PHP 7.4. Zit jouw site daarbij, vraag je host dan om een overstap naar 8.3 of nieuwer, of om een eigen oplossing voor jouw versie. Test na zo’n overstap of je formulieren en je webwinkel nog werken, want oude plugins doen het op een nieuwe PHP-versie niet altijd.

Wat je beter niet doet: je site uit voorzorg offline halen, of in paniek plugins verwijderen. Dat helpt niet tegen een lek in PHP zelf. Zorg wel dat er een recente backup is, voor het geval een overstap misgaat.

Komt er na de update meer bekend over hoe aanvallers het lek gebruiken, kijk dan of er onbekende beheerders of bestanden op je site staan. Hoe je dat in WordPress doet, lees je in ons stuk over de hack bij UpdraftPlus.

Wat FWRD hiermee doet

Een FWRD-site draait niet op PHP: de sites en het platform zijn gebouwd in TypeScript en Astro, en er staat geen PHP-code in. Wie een FWRD-site heeft, hoeft dus niets bij te werken. Wat het verder betekent om niet op WordPress te draaien, staat op de vergelijking met WordPress. Wil je weten hoe je eigen site ervoor staat, doe dan de gratis websitecheck.

Bronnen

• PHP.net: Upcoming Critical PHP Security Release, 20 oktober 2026
• PHP.net: ondersteunde versies, opgevraagd 21 oktober 2026
• WordPress.org: PHP-versies van WordPress-sites, opgevraagd 21 oktober 2026
• BleepingComputer: PHP warns admins of two critical flaws, emergency patches coming tomorrow, 20 oktober 2026
• Sansec: Critical PHP RCE, CVE-2026-109618 and CVE-2026-109619, 21 oktober 2026
• Tweakers: PHP waarschuwt voor twee ernstige bugs die makkelijk uit te buiten lijken, 21 oktober 2026