Bouwen
Het PHP-lek in gewoon Nederlands: wat je nu doet
Twee kritieke lekken in PHP zetten op 21 oktober 2026 de sites van DigiD, MijnOverheid en RTL uit de lucht. Wie loopt risico, wat doe je vandaag en hoe weet je of jouw site op PHP draait?
Op 21 oktober 2026 gingen de sites van DigiD, MijnOverheid en RTL uit voorzorg uit de lucht. Ook de Tweede Kamer en Tweakers haalden hun site offline. De reden is geen inbraak bij één bedrijf, maar een fout in PHP zelf. Hieronder staat wat dat betekent, of jij risico loopt en wat je vandaag nog doet.
Wat is er aan de hand?
Het PHP-team kondigde op 20 oktober twee kritieke lekken aan. Ze heten CVE-2026-109618 en CVE-2026-109619 en krijgen allebei een 9,2 op een schaal tot 10. Zo'n lek betekent dat iemand van buiten zijn eigen opdrachten kan laten uitvoeren op de server waar jouw site op staat. In gewone woorden: PHP kan in de war raken als het geheugen vol zit, of als een eerder verzoek rommel achterlaat. Wie dat slim uitbuit, laat eigen code draaien.
Het lek zit niet in een plugin of in een thema, maar in PHP zelf. Dat is de taal waarmee de server je pagina bouwt voordat hij die naar je bezoeker stuurt. Alleen je website bijwerken is dus niet genoeg. PHP op de server moet mee.
De details lekten op 20 oktober uit, voordat de oplossing klaar was. Daarom haalden organisaties hun sites uit voorzorg offline in plaats van af te wachten. Het NCSC noemt het geen aanval maar een fout in de software, en zag op 21 oktober in de middag nog geen actief misbruik. Cloudflare meldde wel de eerste aanvalspogingen.
Het PHP-team bracht de oplossing op 21 oktober uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens het team zijn alle PHP-installaties getroffen die webverzoeken afhandelen, en is updaten de enige volledige oplossing. Het risico is volgens hen het grootst bij Apache met mod_php.
Hoeveel sites draaien op PHP?
Volgens W3Techs draait 69,3 procent van de websites waarvan de techniek bekend is op PHP (stand 21 oktober 2026). WordPress, WooCommerce, Magento, Joomla, Drupal en Laravel doen dat allemaal. Je hoeft dus geen overheidssite te zijn om geraakt te worden.
Er is een tweede probleem. Volgens dezelfde cijfers draait 27 procent van de PHP-sites nog op PHP 7 en 7,7 procent op PHP 5. Het PHP-team ondersteunt alleen nog PHP 8.2 en nieuwer, en PHP 8.2 stopt op 31 december 2026. PHP 8.1 en ouder krijgen geen update meer. Het team publiceerde voor 7.4, 8.0 en 8.1 wel losse aanpassingen voor wie ze zelf kan inbouwen, en sommige hosters leveren een eigen oplossing. Vraag ernaar.
Wat je vandaag doet als je site op PHP draait
- Vraag je hoster welke PHP-versie je site gebruikt en of die is bijgewerkt naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Veel hosters doen dat voor je, maar controleer het.
- Draait je site op PHP 8.1 of ouder? Vraag je hoster of die een eigen oplossing levert, of verhuis naar een nieuwere versie. Het PHP-team zelf levert voor die versies geen update meer.
- Werk WordPress, je thema en je plugins bij. Een bijgewerkte PHP lost dit lek op, maar een verouderde plugin blijft een tweede open deur.
- Een firewall zoals Cloudflare vangt een deel van de aanvallen af, maar volgens Cloudflare zelf niet alles. Zie het als extra bescherming en niet als oplossing.
- Installeer geen losse fix-plugins of stukjes code van een forum. Wacht op de officiële update.
- Maak een back-up en kijk na de update of er vreemde nieuwe bestanden of beheerders op je site staan.
Het NCSC adviseert organisaties de update direct te installeren. Lukt dat niet meteen, dan kan een site na een risicoanalyse tijdelijk offline.
En mijn eigen websites?
Ik bouw niet met PHP. De websites die ik maak draaien op Next.js (JavaScript en TypeScript) of op Shopify. Dit lek zit in PHP zelf, dus raakt het die sites niet.
Dat is een feit over dit lek en geen vrijbrief. Elke techniek heeft kwetsbaarheden, ook Next.js. Het verschil zit in hoe snel je ze dichtzet. Onderhoud is daarom geen luxe, maar de reden dat een site veilig blijft.
Liever geen site die elke maand om updates vraagt?
Een site verhuizen van WordPress naar iets anders kan zonder je plek in Google te verliezen, zolang je de doorverwijzingen goed regelt. Hoe dat werkt lees je in het artikel over het WordPress-theme waar je uit bent gegroeid.
Waar dit artikel op is gebaseerd
De aankondiging en het beveiligingsbericht van het PHP-team van 20 en 21 oktober 2026, de berichtgeving van de NOS en het NCSC van 21 oktober 2026, onderzoek van Patchstack, Sansec en Huntress, en de cijfers van W3Techs. Ik werk dit artikel bij zodra er nieuwe feiten bekend worden.