PHP-lek van oktober 2026: wat moet je met je website?

Wat is er aan de hand?

PHP is een programmeertaal die op webservers draait. WordPress is erin gebouwd: WordPress noemt PHP zelf de programmeertaal waarmee WordPress is gemaakt en onderhouden.

Op 20 oktober 2026 kondigde het beveiligingsteam van PHP een spoedupdate aan, voor woensdag 21 oktober om 14:00 UTC. Dat is 16:00 uur Nederlandse tijd. De update dicht twee kritieke lekken. Allebei kregen ze een 9,2 op de CVSS-schaal, de gangbare maat voor de ernst van een lek, met 10 als hoogste score. Welke PHP-versies geraakt zijn en welke versies het oplossen, maakt PHP pas bij de update zelf bekend (aankondiging op php.net).

Daarna ging het snel. Volgens de NOS haalden onder meer MijnOverheid, DigiD, de Tweede Kamer, het Nationaal Cyber Security Centrum (NCSC), de Autoriteit Persoonsgegevens, RTL en Tweakers hun sites uit voorzorg offline.

Het NCSC had op dat moment nog geen actief misbruik gezien, meldt de NOS. Het advies van het NCSC: werk PHP zo snel mogelijk bij. Tot die tijd geldt een systeem met PHP dat vanaf internet bereikbaar is als vermoedelijk kwetsbaar.

Draait jouw website op PHP?

Dat hangt af van waarop je site gebouwd is. Zo zie je het snel:

• WordPress: ja. Ook als je site met een paginabouwer als Elementor of Divi gemaakt is, draait daaronder WordPress, en dus PHP.
• WooCommerce-webshop: ja. WooCommerce is een uitbreiding voor WordPress.
• Wix, Squarespace of Shopify: de server is van het platform, niet van jou. Updates aan die servers doet het platform zelf. Jij kunt daar niets aan bijwerken.
• Een site zonder PHP op de server: bijvoorbeeld een statische site, die kant-en-klare pagina's uitlevert. Dit lek speelt daar niet.
• Iets anders, of je weet het niet: vraag het je hostingpartij of degene die je site gebouwd heeft.

Zo zie je in WordPress welke PHP-versie je hebt

Log in en ga naar Gereedschap → Sitediagnose → Info. Klap daar het blok Server open: daarin staat de PHP-versie. In het Engels heet het scherm Site Health. WordPress raadt zelf PHP 8.3 of hoger aan.

Die versie zegt nog niet of de beveiligingsupdate erop staat. Dat zie je pas als je hem naast de lijst met gerepareerde versies legt die PHP bij de update publiceert.

Wat je vandaag doet

1. Vraag het je hostingpartij. Stuur een kort bericht: "Mijn site draait op WordPress. Installeren jullie de PHP-beveiligingsupdate van 21 oktober, en wanneer?" Bij gedeelde hosting beheert de hostingpartij de server, en dus ook PHP.
2. Beheer je zelf een server? Dan ben jij of je beheerder aan de beurt. Installeer de nieuwe PHP-versie zodra die op de releasepagina van PHP staat.
3. Vraag naar je back-up. Vraag je hostingpartij of er een recente kopie van je site en database is, en hoe je die terugzet. Dat is je vangnet, wat er ook gebeurt.
4. Noteer het antwoord. Schrijf op wanneer je hostingpartij de update heeft geïnstalleerd. Dan weet je later precies vanaf wanneer je site bijgewerkt was.

Twijfel je of je webshop klantgegevens bevat die gevaar lopen? Leg die vraag ook bij je hostingpartij neer. Zij zien wat er op de server staat. Vanaf de buitenkant kan niemand dat beoordelen.

Wat dit lek niet oplost

• WordPress of je plugins bijwerken. Doe dat gerust, het blijft verstandig. Maar dit lek zit in PHP zelf, één laag dieper. Een nieuwe WordPress-versie verandert daar niets aan.
• Alleen een firewall of beveiligingsdienst. Cloudflare vangt aanvallen op dit lek af, maar zegt zelf dat dit niet waterdicht is, meldt de NOS. Zo'n filter helpt tot de update er is, maar vervangt hem niet.
• Afwachten tot je iets merkt. Volgens de NOS kunnen aanvallers via deze lekken hun eigen code op een server uitvoeren. Daar merk je als bezoeker van je eigen site niets van.

Waarom zoveel sites tegelijk geraakt worden

Bij een lek in één WordPress-plugin gaat het alleen om de sites die die plugin gebruiken. Dit lek zit in de taal eronder. Elke site die op PHP draait heeft dezelfde update nodig, met welke plugins dan ook.

Daarom gingen in één ochtend zoveel verschillende organisaties uit de lucht. Je hoeft als ondernemer niet te weten hoe het lek technisch werkt. De vraag voor jou is alleen of jouw site op PHP draait, en wie hem bijwerkt.

Na de update: hoe weet je dat het goed zit?

• Vraag je hostingpartij welke PHP-versie je site nu draait.
• Leg die naast de lijst met gerepareerde versies op de releasepagina van PHP.
• Kijk in WordPress nog een keer bij Sitediagnose → Info → Server. Staat daar de nieuwe versie, dan is de update op jouw site aangekomen.
• Wil je verder lezen: de beveiligingsadviezen van het NCSC staan op advisories.ncsc.nl.

Wat dit zegt over hoe je site gebouwd is

Elke website draait op software, en alle software krijgt ooit een lek. Het verschil zit in wat er op de server draait, en wie dat bijhoudt.

Een WordPress-site heeft een server met PHP nodig, plus een database en plugins. Dat zijn drie lagen die elk hun eigen updates krijgen. Wat dat bijhouden per jaar kost, staat in wat een goedkope WordPress-site écht kost.

Een statische site levert kant-en-klare pagina's uit, zonder PHP op de server. Dit lek speelt daar niet. Onkwetsbaar is zo'n site daarmee niet: ook daar draait software die updates krijgt. Er draait alleen minder op de server, dus er valt minder bij te houden.

Laat je een nieuwe site bouwen, vraag dan wie na de oplevering de updates doet. Waar je verder op let bij die keuze, lees je in freelance webdeveloper of bureau. En is je WordPress-site vooral traag, dan begint het ook daar bij de PHP-versie: dat stappenplan staat in trage website oplossen.

Veelgestelde vragen

Moet ik mijn WordPress-site nu offline halen?

Dat is een afweging voor jou en je hostingpartij. Grote organisaties deden het op 21 oktober uit voorzorg. De eerste stap is in elk geval: vraag je hostingpartij vandaag of en wanneer zij de PHP-update installeren. Bewaart je site klantgegevens, bespreek dan ook met hen of offline halen tot de update verstandig is.

Lost een WordPress-update dit PHP-lek op?

Nee. Het lek zit in PHP, de programmeertaal waarop WordPress draait. Een update van WordPress of je plugins blijft verstandig, maar dicht dit lek niet. Daarvoor moet PHP zelf worden bijgewerkt, door je hostingpartij of door wie je server beheert.

Is mijn Shopify- of Wix-site ook kwetsbaar?

Bij Shopify, Wix en Squarespace is de server van het platform, niet van jou. Updates aan die servers doet het platform zelf, en jij kunt daar niets aan bijwerken. Wil je het zeker weten, kijk dan op de statuspagina of in het nieuws van je platform.

Hoe weet ik of mijn site op PHP draait?

Draait je site op WordPress of WooCommerce, dan draait hij op PHP. In WordPress zie je de versie onder Gereedschap, Sitediagnose, Info, Server. Weet je niet waarop je site gebouwd is, vraag het dan je hostingpartij of degene die de site gemaakt heeft.

Wanneer komt de update van PHP?

Het beveiligingsteam van PHP kondigde de update aan voor woensdag 21 oktober 2026 om 14:00 UTC, dat is 16:00 uur Nederlandse tijd. De getroffen versies en de versies met de oplossing worden bij die update gepubliceerd op php.net.

Bronnen

• Upcoming Critical PHP Security Release (20 oktober 2026) — The PHP Group (php.net)
• Websites van overheid en in onderwijs offline vanwege lek, risico op hacks (21 oktober 2026) — NOS
• PHP Releases — The PHP Group (php.net)
• Site Health screen — WordPress.org
• Requirements — WordPress.org
• WooCommerce — WordPress.org Plugins
• Beveiligingsadviezen — Nationaal Cyber Security Centrum