PHP-lek: wat betekent het voor uw website?

Wat is er aan de hand?

Op 21 oktober 2026 heeft PHP twee ernstige beveiligingslekken gedicht, die samen PHP2Shell worden genoemd (de beveiligingsmelding van PHP). Via deze lekken kan iemand die nergens is ingelogd, van buitenaf eigen code uitvoeren op de server waar een website op staat. Wie dat lukt, kan de website aanpassen, er schadelijke software op zetten of gegevens van de server lezen.

Dit lek zit niet in één plug-in of in één systeem, maar in PHP zelf. Daardoor was in één keer een groot deel van alle websites kwetsbaar. Veel organisaties, waaronder DigiD, MijnOverheid en de Tweede Kamer, haalden hun website daarom uit voorzorg tijdelijk offline, tot de update er was.

Of het lek al op grote schaal wordt misbruikt, was op 22 oktober nog niet duidelijk. Ga er voor de zekerheid van uit dat het gebeurt, want de technische details zijn inmiddels openbaar.

Wat is PHP?

PHP is een programmeertaal waarmee websites worden gebouwd. Elke keer dat iemand een pagina opent, stelt PHP die pagina op de server samen: het haalt de tekst uit de database, voegt het menu en de afbeeldingen toe en stuurt het resultaat naar de bezoeker. Een groot deel van alle websites werkt zo, waaronder elke website die met WordPress is gemaakt.

Als bezoeker ziet u niets van PHP. Daarom weten veel eigenaren van een website niet dat hun website erop draait.

Draait mijn website op PHP?

Uw website draait op PHP als hij is gemaakt met WordPress (ook met WooCommerce), Joomla, Drupal, Magento of PrestaShop. Ook veel websites die een bouwer zelf heeft geprogrammeerd, bijvoorbeeld met Laravel, gebruiken PHP.

Websites die u met een websitebouwer als Shopify, Wix of Squarespace hebt gemaakt, zijn niet kwetsbaar. Ze draaien niet op PHP, en de leverancier houdt de techniek zelf bij. Ook een statische website, die bestaat uit bestanden die vooraf zijn gebouwd, gebruikt geen PHP.

Weet u niet waarmee uw website is gemaakt, vraag het dan aan degene die hem heeft gebouwd of aan uw hostingbedrijf. Uw hostingbedrijf is het bedrijf waar uw website online staat en dat u daarvoor elke maand of elk jaar betaalt.

Wie moet het lek dichten?

Om het lek te dichten moet PHP op de server worden bijgewerkt. Een WordPress-website bestaat namelijk uit lagen. Bovenaan staat uw website: wat bezoekers zien. Daaronder zitten WordPress en plug-ins, die u of uw bouwer bijwerkt. Daaronder zit PHP, en daar zit het lek. PHP draait op de server, en die is meestal van uw hostingbedrijf. Een update van WordPress raakt PHP dus niet.

Wie PHP bijwerkt, hangt af van waar uw website staat:

Met een eigen server bedoelen we een server die u huurt en die u zelf of via uw bouwer beheert. Bij een gewoon hostingpakket hoeft u PHP niet zelf bij te werken, en het kost u ook niets. Ga wel na of het is gebeurd: een hostingbedrijf heeft duizenden websites en werkt ze niet allemaal tegelijk bij.

Welke PHP-versie heeft uw website?

Of het lek bij u dicht is, ziet u aan het versienummer van PHP. Dat nummer vindt u op een van deze plekken:

• in het beheerpaneel van uw hostingbedrijf, meestal onder “PHP-versie” of “PHP-instellingen”;
• in WordPress onder Tools en dan Sitediagnose, op het tabblad Informatie bij Server;
• in het antwoord van uw hostingbedrijf of bouwer, als u het hun vraagt.

Een versienummer als 8.3.36 bestaat uit een reeks (8.3) en een volgnummer (36). Zoek uw reeks op in de tabel. Het lek is dicht als uw volgnummer gelijk is aan of hoger is dan het nummer in de tweede kolom. De derde kolom laat zien tot wanneer PHP de reeks nog van beveiligingsupdates voorziet, volgens de lijst van ondersteunde versies.

Staat er bij uw website bijvoorbeeld 8.3.30, dan is het lek nog open en moet uw hostingbedrijf de update nog installeren.

Wat als uw website op een oude PHP-versie draait?

Voor PHP 8.1 en ouder brengt PHP geen update uit. Sommige hostingbedrijven repareren oude versies zelf, maar daar kunt u niet op rekenen: bij een volgend lek gebeurt dat misschien niet. Een website op PHP 8.1 of ouder moet daarom over naar een nieuwere reeks, bij voorkeur 8.4.

Die overstap gaat in de meeste beheerpanelen met één klik, maar de website kan daarna haperen. Een plug-in of thema dat al jaren geen update heeft gehad, werkt niet altijd op een nieuwere versie van PHP. Laat de overstap daarom eerst testen op een kopie van de website. Is de website erg oud, dan kan een nieuwe website de betere keuze zijn.

Draait uw website op PHP 8.2, dan is hij na de update tegen dit lek beschermd, maar alleen tot 31 december 2026. Daarna krijgt PHP 8.2 geen beveiligingsupdates meer. Als de website toch wordt nagekeken, is dit een goed moment om hem meteen naar 8.4 te laten overzetten.

Is uw website zo oud dat vervangen verstandiger is dan bijwerken, vraag dan een offerte aan voor een nieuwe website die niet op PHP draait.

Wat doet u vandaag?

Als eigenaar van een website hoeft u vooral na te vragen en te controleren. Het eigenlijke werk doet degene die de server beheert.

1. Vraag uw hostingbedrijf of bouwer of de PHP-update is geïnstalleerd, en wanneer. U kunt daarvoor de vragen voor uw hostingbedrijf in één mail sturen.
2. Controleer daarna zelf het versienummer van PHP.
3. Zorg dat er een recente back-up van de website is die niet op dezelfde server staat.
4. Werk WordPress, de plug-ins en het thema bij, en verwijder plug-ins die u niet gebruikt. Dat dicht dit lek niet, maar een verouderde plug-in kan een eigen lek hebben.

Haal uw website alleen offline als dat echt nodig is. Wanneer dat zo is, leest u in het volgende deel.

Moet u uw website offline halen?

Voor de meeste websites is dat niet nodig. Offline halen is wel verstandig als uw website nog kwetsbaar is, persoonsgegevens bewaart of klanten laat inloggen of bestellen, en niemand de update binnen een dag kan installeren. Een website met alleen informatie en een contactformulier kan online blijven, zeker als het hostingbedrijf de update dezelfde dag installeert.

Haalt u de website offline, laat dan een tijdelijke pagina zien met uw naam, telefoonnummer en e-mailadres. Zo kunnen klanten u nog bereiken.

Wat moet u na de update nog doen?

Na de update is het lek dicht, maar wat iemand eerder al heeft gedaan, wordt daarmee niet teruggedraaid. Volgens PHP kon het lek bovendien stukjes van het geheugen van de server laten zien. Daarin kan staan wat bezoekers kort daarvoor invulden, zoals een wachtwoord. Loop daarom deze punten na zodra de nieuwe versie actief is:

Hoe ziet u of uw website is gehackt?

Een gehackte website ziet er vaak heel gewoon uit. Let daarom op deze signalen:

• er staat een gebruiker met beheerrechten die u niet kent;
• er staan plug-ins, bestanden of pagina’s die niemand heeft toegevoegd;
• bezoekers worden doorgestuurd naar een andere website;
• Google toont een waarschuwing bij uw website, of Search Console meldt een probleem;
• er wordt spam verstuurd vanaf uw domeinnaam.

Ziet u een van deze signalen, haal de website dan offline en laat hem herstellen voordat hij weer online gaat. Ziet u niets, dan is dat geen garantie dat de website schoon is. Wijzig de wachtwoorden dus in elk geval.

Moet u een datalek melden?

Een kwetsbare website is op zichzelf nog geen datalek. Van een datalek is pas sprake als persoonsgegevens in handen zijn gekomen van iemand die ze niet mocht hebben, of als u dat niet kunt uitsluiten. Op een website gaat het bijvoorbeeld om berichten uit het contactformulier die de website bewaart, of om de accounts van klanten.

Vindt u signalen dat de website is gehackt en bewaart de website persoonsgegevens, dan moet u het datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Dat staat in artikel 33 van de AVG. Melden hoeft niet als het lek waarschijnlijk geen risico oplevert voor de mensen om wie het gaat, maar ook dan legt u het vast in uw eigen overzicht van datalekken. Hoe u een melding doet, beschrijft de AP. Of uw situatie gemeld moet worden, beoordeelt u zelf; bij twijfel kan een jurist u helpen.

Vragen voor uw hostingbedrijf of bouwer

Met deze vragen in één mail weet u snel of uw website veilig is en wat er nog moet gebeuren.

Is het antwoord op de tweede vraag geen duidelijk ja met een datum, ga er dan van uit dat uw website nog kwetsbaar is.

Veelgestelde vragen

Een website zonder PHP

Zorgt uw hostingbedrijf voor de update en draait uw website op een reeks die nog wordt ondersteund, dan is er verder niets nodig. Wilt u bij een volgend lek in PHP niet opnieuw hoeven bijwerken, dan is een website van bestanden het overwegen waard: die heeft geen PHP, dus een lek als dit kan hem niet raken. Zulke websites bouwen wij, dus lees dit advies met dat in gedachten. Wilt u weten wat een overstap van WordPress voor uw website betekent, vraag dan een offerte aan en zet het adres van uw huidige website erbij.

Wilt u liever eerst zien hoe uw homepage eruitziet als website zonder PHP? Vraag een gratis voorbeeld aan.

Zo ziet een website-offerte eruit.