PHP-lek PHP2Shell: is je website kwetsbaar en wat moet je doen?

PHP2Shell is de bijnaam van twee lekken in PHP zelf, met de nummers CVE-2026-109618 en CVE-2026-109619. PHP is de programmeertaal op de server die bij elk bezoek de pagina opbouwt. WordPress draait erop, net als veel andere websitesystemen en webshops. Een lek in PHP raakt dus de basis waar de hele site op staat, met alle plug-ins en thema's erbovenop.

Volgens de melding van het PHP-team kan een aanvaller via beide lekken op afstand code uitvoeren op de server, zonder eerst in te loggen. Het PHP-team geeft ze een score van 9,2 op een schaal van 10. Met zulke toegang kan iemand pagina's aanpassen, spam of malware op je site zetten of de gegevens uit je contactformulieren meenemen.

Het PHP-team noemt elke installatie die webverzoeken afhandelt kwetsbaar, welke serversoftware er ook omheen staat. Het risico is volgens het team het grootst bij Apache met mod_php, omdat de aanval daar al werkt voordat de code van je website wordt uitgevoerd. De details lekten op 20 oktober uit, waarna het PHP-team de updates een dag eerder uitbracht dan gepland.

Alle PHP-versies vanaf 5.4 die nog niet zijn bijgewerkt, zijn kwetsbaar. Of er een oplossing voor jouw versie is, hangt af van de reeks waarin je zit. De versies die het PHP-project nog onderhoudt, staan op de pagina met ondersteunde versies.

Let op het versienummer. Hostingpartijen en Linux-distributies kregen de oplossing vooraf en zetten die soms in hun eigen pakketten, zonder het versienummer van PHP te verhogen. Staat er bij jou een iets ouder nummer, vraag dan je hostingpartij of de oplossing voor PHP2Shell al in hun versie zit.

PHP 8.2 krijgt nog tot 31 december 2026 beveiligingsupdates. Wie nu toch moet bijwerken, slaat die stap beter over en gaat meteen naar 8.3 of hoger. WordPress raadt zelf PHP 8.3 of hoger aan.

Je PHP-versie zoek je in een paar minuten op. Begin bij de eerste manier die voor jouw site werkt. Een uitgebreide uitleg per manier staat in hoe je je PHP-versie controleert.

1. 1

   In WordPress: Sitestatus

   Log in en ga naar Hulpmiddelen en dan Sitestatus. Open het tabblad Info en klap het onderdeel Server uit. Daar staat de PHP-versie. Op het tabblad Status meldt WordPress het als je een verouderde PHP-versie gebruikt; zie de uitleg van WordPress over Sitestatus.

2. 2

   In het paneel van je hostingpartij

   Bijna elke hostingpartij laat in het klantpaneel zien welke PHP-versie je site gebruikt, vaak onder een kopje als PHP-instellingen of PHP-versie. Daar kun je hem meestal ook zelf wijzigen.

3. 3

   Vraag het je webbouwer of hostingpartij

   Heb je geen toegang, vraag het dan na. Vraag er meteen bij of de oplossing voor PHP2Shell al is geïnstalleerd, en wanneer.

4. 4

   In de reactie van je server

   Sommige servers sturen de versie mee met elke pagina, in een kopregel met de naam X-Powered-By. Je ziet die in de ontwikkelaarstools van je browser, onder Netwerk. Veel hostingpartijen verbergen deze regel; zie je hem niet, dan zegt dat dus niets over je versie.

Snel een eerste indruk? Doe de gratis PHP-check: die leest de kopregel van je server voor je uit. Wil je dit niet zelf uitzoeken, laat je PHP-versie dan door ons checken via het formulier onderaan deze pagina. Binnen 1 werkdag hoor je welke versie je site gebruikt en wat er moet gebeuren. Hoe we je site daarna bijhouden, staat bij hosting en onderhoud.

Gebruikt je site een kwetsbare versie, werk hem dan vandaag bij. Het PHP-team schrijft dat bijwerken de enige volledige oplossing is. Doe het in deze volgorde, zodat je terug kunt als er iets misgaat.

1. 1

   Maak een back-up

   Laat een volledige back-up maken van je bestanden en je database, of maak hem zelf in het paneel van je hostingpartij. Gaat er bij het bijwerken iets mis, dan zet je die terug.

2. 2

   Werk WordPress, je thema en je plug-ins bij

   Oude plug-ins werken soms niet op een nieuwere PHP-versie. Door ze eerst bij te werken, voorkom je dat je site na de PHP-update een foutmelding geeft.

3. 3

   Werk PHP bij

   Kies in je hostingpaneel een gepatchte versie uit de tabel hierboven, of vraag je hostingpartij dat te doen. Blijf je in dezelfde reeks, bijvoorbeeld van 8.3.35 naar 8.3.36, dan is de kans op problemen klein.

4. 4

   Controleer je site

   Open je homepage, een dienstpagina en je contactformulier. Stuur een testbericht om te zien of het aankomt. Werkt alles, dan ben je klaar.

Het PHP-team noemt een paar instellingen op de server die het risico verkleinen, zoals het uitzetten van de voortgangsmelding bij uploads. Het schrijft er nadrukkelijk bij dat die maatregelen een installatie niet veilig maken. Ze zijn bedoeld voor beheerders van een server; op een gedeeld hostingpakket kun je ze meestal zelf niet aanpassen.

• Vraag je hostingpartij wanneer de gepatchte versie op jouw server staat, en of je zelf iets moet doen.
• Gebruik je Cloudflare, dan heeft dat volgens Tenable regels toegevoegd die bekende aanvallen tegenhouden. Cloudflare noemt dat zelf een noodoplossing.
• Draait je site op een versie zonder oplossing en lukt overstappen niet snel, overweeg dan de site tijdelijk offline te halen. Het Britse NCSC raadt dat aan voor systemen die niet meteen te repareren zijn, meldt Help Net Security.

Wordt het lek al misbruikt? Daarover verschillen de berichten. Cloudflare en het beveiligingsbedrijf watchTowr meldden de eerste aanvalspogingen. Het PHP-team schreef bij de release dat het in de uitgelekte voorbeelden nog geen werkende aanval had gevonden. Wacht daar niet op: zodra een lek met een werkende aanval openbaar is, proberen aanvallers het op grote schaal.

Een gehackte site verliest snel bezoekers uit Google. Merkt Google dat een aanvaller pagina's heeft aangepast of spampagina's heeft toegevoegd, dan kan het in de zoekresultaten de melding Deze site is mogelijk gehackt tonen. Google raadt mensen dan aan je site niet te bezoeken tot de melding weg is.

Gehackte inhoud valt ook onder het spambeleid van Google. Sites die dat beleid overtreden, kunnen volgens Google lager of helemaal niet in de resultaten verschijnen. In Google Search Console zie je zulke problemen in het rapport Beveiligingsproblemen. Ook browsers kunnen bezoekers met een waarschuwing tegenhouden.

Voor een installateur betekent dat minder aanvragen, juist in de periode dat je de site aan het herstellen bent. Verdwijnen je pagina's uit Google, lees dan waarom een website niet vindbaar is in Google voor de stappen om te zien wat Google van je site weet. Het herstel zelf, van het opruimen tot het opnieuw laten beoordelen, valt bij ons onder techniek en snelheid.

PHP2Shell is niet het eerste lek in PHP en het wordt ook niet het laatste. Het PHP-project brengt elke paar weken updates uit, en een deel daarvan dicht een beveiligingslek. Wat helpt, is een vaste afspraak over wie je website bijhoudt.

• Leg vast wie PHP, WordPress, je thema en je plug-ins bijwerkt, en hoe vaak.
• Zorg dat er iemand is die bij een spoedmelding dezelfde dag kan handelen.
• Laat back-ups maken voor elke grote wijziging, zodat je altijd terug kunt.
• Zet in je agenda wanneer jouw PHP-reeks geen updates meer krijgt. Voor PHP 8.2 is dat 31 december 2026.
• Gooi plug-ins weg die je niet gebruikt. Elke plug-in is code die bijgehouden moet worden.

Is je site zo oud dat bijwerken steeds problemen geeft, dan is opnieuw bouwen soms goedkoper dan blijven repareren. Hoe we dat afwegen, lees je bij een website laten maken.

We beginnen met een PHP-check. Vul onderaan deze pagina je website in; de vraag staat er al. Binnen 1 werkdag hoor je welke PHP-versie je site gebruikt, of die de oplossing voor PHP2Shell heeft en wat er moet gebeuren. Liever bellen of appen? Dat kan via contact.

Wil je het daarna niet meer zelf bijhouden, dan kun je je site bij ons laten hosten. Onze servers staan in Nederland en België, overzetten is gratis en je e-mail verhuist mee. We houden PHP, WordPress en je plug-ins bij en grijpen meteen in bij een beveiligingslek. Alles over het pakket staat bij hosting en onderhoud.

Wil je weten hoe je site er verder voor staat in Google en AI-assistenten? Doe dan de gratis SEO-check. Je rapport staat binnen 5 minuten in je mail.