Kritieke PHP-lekken · 21 oktober 2026
Twee kritieke lekken in PHP laten hackers zonder wachtwoord binnen op je server. Plak je websiteadres en zie binnen enkele seconden of je site op een kwetsbare versie draait.
In PHP, de programmeertaal achter WordPress, Joomla, Drupal en de meeste webshops, zijn twee kritieke lekken ontdekt. Een aanvaller kan er zonder in te loggen eigen code mee uitvoeren op je server. PHP bracht op 21 oktober 2026 een beveiligingsupdate uit.
Elke website die op PHP draait en nog niet geüpdatet is. Dat is ruim 70 procent van het web. Sites op PHP 8.1 of ouder krijgen geen officiële fix meer en moeten eerst naar een nieuwere versie overstappen.
Laat je hostingpartij of webbouwer bevestigen dat je server op een gepatchte PHP-versie draait. Lukt dat niet meteen, dan raden het Centrum voor Cybersecurity België en PHP zelf aan om de website tijdelijk offline te halen.
De fix zit in de releases van 21 oktober 2026. Alles daaronder is kwetsbaar voor CVE-2026-109618 en CVE-2026-109619.
We bezoeken je homepage zoals een browser dat doet en lezen wat je server zelf prijsgeeft: de PHP-versie in de headers, het CMS dat je gebruikt en andere technische sporen. We voeren geen aanvallen of indringende tests uit. Om de campagne te meten, bewaren we het gescande domein en het resultaat, zonder gegevens over jou als bezoeker. Persoonsgegevens bewaren we alleen als je zelf het contactformulier invult.
Veel servers tonen hun PHP-versie bewust niet, omdat dat aanvallers minder informatie geeft. Van buitenaf kunnen we dan niet bevestigen of de fix geïnstalleerd is. Daarvoor is toegang tot je hosting nodig, en dat checken wij gratis voor je.
Dat kan kloppen. Linuxdistributies zoals Ubuntu en Debian bouwen beveiligingsfixes soms in zonder het versienummer te verhogen. Vraag je hostingpartij om schriftelijk te bevestigen dat de fix voor CVE-2026-109618 en CVE-2026-109619 actief is.
Cloudflare en andere firewalls blokkeren de gekende aanvalspatronen, maar dat is een extra laag, geen oplossing. PHP stelt zelf dat er geen volledige omweg bestaat: alleen updaten maakt je server veilig.
De controle is gratis. Blijkt een update of migratie nodig, dan krijg je eerst een duidelijke inschatting van het werk voordat we iets doen. Voor websites die we zelf bouwden of beheren, nemen we de update op ons.