PHP-kwetsbaarheid: is jouw website al bijgewerkt?

Woensdag 21 oktober waarschuwde het Nationaal Cyber Security Centrum (NCSC) voor een ernstige PHP-kwetsbaarheid, of eigenlijk twee. Dat klinkt als iets voor programmeurs, maar het raakt veel meer bedrijven dan je zou denken. Grote kans dat jouw website, webshop of klantportaal op PHP draait.

Wat is er aan de hand

PHP is de programmeertaal achter een groot deel van alle websites, waaronder sites die met WordPress zijn gebouwd. In PHP zijn twee lekken gevonden waarmee een aanvaller via internet de controle over een server kan overnemen, zonder in te loggen. Volgens het NCSC zijn alle PHP-versies vanaf versie 5 kwetsbaar. Er staat voorbeeldcode online waarmee het lek te misbruiken is, en het NCSC onderzoekt inmiddels de eerste signalen van succesvol misbruik.

Het NCSC haalde uit voorzorg zelfs de eigen website tijdelijk offline. Dat zegt genoeg over hoe serieus ze het nemen.

Wat het voor jouw bedrijf betekent

Het risico zit bij systemen die vanaf internet bereikbaar zijn: je website, je webshop, een klant- of leveranciersportaal, of een webapplicatie die een leverancier voor je host. Zolang het goed gaat, merk je er niets van. Gaat het mis, dan kan iemand je site aanpassen, gegevens inzien of je server gebruiken als opstapje naar meer.

Je laptops en je Microsoft 365-omgeving vallen hier niet direct onder. Het gaat om de servers waarop websites en webapplicaties draaien.

Wat er moet gebeuren

De oplossing is gelukkig helder: bijwerken. De updates zijn er inmiddels, in de versies PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor de oudere versies 7.4, 8.0 en 8.1 zijn alleen minimale reparaties uitgebracht, en die versies worden niet meer regulier onderhouden. Draait je site op zo’n oude versie, dan is dit een goed moment om over te stappen naar een versie die wel onderhouden wordt.

Tijdelijke maatregelen helpen volgens het NCSC maar beperkt. Alleen de update sluit het lek echt. Het advies is om systemen die nog kwetsbaar zijn offline te houden tot ze zijn bijgewerkt.

Vijf vragen om vandaag te stellen

  1. Wie host onze website en webshop, en heeft die partij de PHP-update al doorgevoerd?
  2. Welke PHP-versie draait er op onze site?
  3. Hebben we nog andere webapplicaties of portalen die vanaf internet bereikbaar zijn?
  4. Wie laat het ons weten als er iets verdachts op de server is gezien?
  5. Wanneer is onze site voor het laatst gecontroleerd op updates?

Weet je het antwoord niet direct? Dat is heel normaal. Het is precies het soort vraag waarvoor je een ICT-partner hebt.

Wij kijken graag met je mee

Bij GOsensit houden we dit soort waarschuwingen voor onze klanten in de gaten, zodat zij er niet zelf achteraan hoeven. Twijfel je of jouw website of webshop veilig is? Neem contact met ons op, dan zoeken we het samen uit. Meer over onze aanpak lees je bij ICT-beveiliging en continuïteit en in ons artikel Cybersecurity in drie pijlers.

Veelgestelde vragen

Wat is de PHP-kwetsbaarheid van oktober 2026?

Op 21 oktober 2026 waarschuwde het NCSC voor twee kritieke lekken in PHP, de programmeertaal achter veel websites. Een aanvaller kan daarmee via internet de controle over een webserver overnemen zonder in te loggen. Alle PHP-versies vanaf versie 5 zijn kwetsbaar.

Is mijn WordPress-website kwetsbaar voor het PHP-lek?

WordPress draait op PHP, dus een WordPress-site is kwetsbaar zolang de server nog niet is bijgewerkt naar een gerepareerde PHP-versie. Of jouw site veilig is, hangt af van je hostingpartij of beheerder. Vraag hen of de PHP-update al is doorgevoerd.

Welke PHP-versie heb ik nodig om veilig te zijn?

Het NCSC adviseert PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Voor PHP 7.4, 8.0 en 8.1 zijn alleen minimale reparaties beschikbaar en die versies worden niet meer regulier onderhouden. Een overstap naar een ondersteunde versie is dan verstandig.

Wordt het PHP-lek al misbruikt?

Er staat voorbeeldcode online waarmee het lek te misbruiken is. Het NCSC meldde op 22 oktober 2026 dat het de eerste signalen van succesvol misbruik onderzoekt en adviseert daarom om direct bij te werken.

Moet ik zelf iets doen als mijn website door een ander wordt gehost?

De update zelf voert je hostingpartij of webbouwer meestal uit. Wat je wel zelf kunt doen, is navragen of dat al is gebeurd en welke PHP-versie er nu draait. Krijg je geen duidelijk antwoord, laat het dan controleren.

Valt Microsoft 365 ook onder dit PHP-lek?

Nee, Microsoft 365 en je werkplekken vallen hier niet direct onder. Het lek zit in servers die websites en webapplicaties draaien met PHP, zoals websites, webshops en portalen die vanaf internet bereikbaar zijn.

Onze filosofie: ICT Zonder Gedoe

GOsensit behartigt alle ICT-belangen van haar opdrachtgevers. Op strategisch niveau maken we afspraken over het ICT-beleid. Op tactisch niveau richten we samen de processen in die zorgen voor een vloeiende uitvoering. Ook op operationeel niveau zorgen we voor professionele kennis en gebruiken we geautomatiseerde systemen ten behoeve van support, incidentmanagement, projectmanagement, assetmanagement, CRM, proactief beheer, documentatiesystemen enzovoorts. We doen dat tegen een vast bedrag per maand zodat jouw ICT-kosten voorspelbaar zijn. Bovendien hebben we er zo beide baat bij dat jouw ICT-omgeving probleemloos werkt, want het oplossen van ICT-problemen is voor onze rekening.

Wij noemen dat ICT zonder gedoe. Ben je benieuwd hoe ICT zonder gedoe jouw bedrijf kan helpen? Vragen staat vrij!

Microsoft NCE

Microsoft 365 – Contractverlenging NCE-licenties 2024

Vakantie

Zomernieuws 2024

Prijs- en inflatiecorrectie per 1 maart 2024

Apps met toegang tot Microsoft 365: weet jij welke?