Op woensdag 21 oktober 2026 bracht PHP een spoedupdate uit voor twee ernstige lekken. Ze kregen de naam PHP2Shell. Via een gewoon verzoek aan een website kon iemand van buitenaf eigen code laten draaien op de server, zonder in te loggen. Voor de websites die wij bouwen en beheren was het dezelfde dag opgevangen, zonder dat een klant er iets voor hoefde te doen. Hieronder lees je wat er speelde en waarom het bij ons zo verliep.
Wat is PHP?
PHP is de programmeertaal waarin een groot deel van de websites op internet draait. Je ziet het niet, maar bij elke pagina die je opvraagt rekent PHP op de server uit wat je te zien krijgt. WordPress draait erop, en ook het OnlineChamp CMS.
Een lek in PHP zelf is daarom iets anders dan een lek in één plugin of één thema. Het zit in de fundering, onder alles wat erop gebouwd is.
Wat er aan de hand was
Het ging om twee lekken, met de nummers CVE-2026-109618 en CVE-2026-109619. Beide kregen een score van 9,2 op 10 voor ernst. Dat is de categorie kritiek.
In gewone taal: PHP kon in de war raken als een verzoek precies op het verkeerde moment te veel geheugen vroeg, of als het gegevens van een vorig verzoek bleef gebruiken. Wie wist hoe, kon daar misbruik van maken en zelf opdrachten op de server uitvoeren. Daarvoor hoefde diegene geen wachtwoord te hebben en hoefde de website zelf geen fout te bevatten.
Het lek zat in alle gangbare manieren waarop een server PHP gebruikt. De bijgewerkte versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder brengt PHP zelf geen update meer uit.
Waarom het zo'n haast had
Normaal komt een beveiligingsupdate uit voordat de buitenwereld weet waar het lek zit. Dit keer lekten de details eerder uit. Het Amerikaanse cyberagentschap CISA riep op om meteen bij te werken, en beveiligingsbedrijven zagen al verkeer dat het lek probeerde te gebruiken. Of er ook echt websites zijn binnengedrongen, daarover lopen de berichten uiteen.
Voor een website-eigenaar kwam het neer op één vraag: draait mijn site vandaag nog op een bijgewerkte versie van PHP?
Hoe wij het hebben aangepakt
Bij ons was het antwoord op die vraag ja, en dat is geen geluk.
PHP wordt centraal onderhouden. Onze websites draaien niet op een losse server die iemand met de hand bijhoudt. De hosting waarop het OnlineChamp CMS draait, werkt PHP zelf bij. Toen de update er was, ging hij daar in één keer voor alle sites doorheen.
Alle sites draaien op de nieuwste versie. Elke website die wij beheren draait op PHP 8.5, de nieuwste reeks. Daar was de update meteen voor beschikbaar. Er stond geen site op een oude versie waar PHP geen oplossing meer voor uitbrengt.
We hebben het nagelopen. Ik heb gecontroleerd op welke versie elke site draait, ook de demo's en de sites die nog in aanbouw zijn. Ze stonden allemaal op de bijgewerkte reeks.
De klant merkte er niets van. Geen onderhoudspagina, geen storing en geen mail met de vraag om in te loggen en iets aan te klikken.
Hoe dat bij een gemiddelde WordPress-site gaat
Bij een WordPress-site op een gewoon hostingpakket ligt dit anders. Of PHP op tijd wordt bijgewerkt, hangt af van de hostingpartij. Draait de site nog op een oude versie van PHP, omdat een plugin of thema de nieuwe niet aankan, dan is er voor dit lek simpelweg geen update.
Dat is geen verwijt aan WordPress. Het is wat er gebeurt als een website uit losse onderdelen bestaat die elk hun eigen onderhoud nodig hebben, en niemand de hele keten in de gaten houdt.
Wat je nu zelf kunt doen
Heb je een website die niet door ons beheerd wordt, stel je hostingpartij dan deze drie vragen:
- Op welke versie van PHP draait mijn website?
- Is de update van 21 oktober 2026 al doorgevoerd?
- Kan mijn website over naar een versie die nog onderhouden wordt, als dat nog niet zo is?
Krijg je als antwoord PHP 8.1 of ouder, dan heeft je website een probleem dat verder gaat dan dit ene lek.
Waarom dit telt
Een website is nooit af. Er komen updates, er worden lekken gevonden en er verandert iets in de techniek eronder. Dat bijhouden hoort bij het beheer van je website, en het hoort niet op het bordje van een ondernemer die wat anders te doen heeft.
Overweeg je om van je oude site af te stappen? Lees hoe overstappen bij ons gaat, of vraag een offerte aan.