Ribuwe
OnderhoudDevelopment

Lek in PHP: moet je je zorgen maken over je website?

Vorige week ging het nieuws rond over een ernstig lek in PHP. Wat betekent dat voor jouw website, en is PHP nog een goede keuze? Uitleg in gewone taal.

Eerst het belangrijkste

Misschien heb je het vorige week voorbij zien komen: er was een ernstig beveiligingslek gevonden in PHP, en sommige websites gingen zelfs tijdelijk offline. Als je een website hebt, of er een wilt laten maken, is het logisch dat je je afvraagt wat dit voor jou betekent.

Het korte antwoord:

  • Er is al een oplossing. Sinds dinsdag 21 oktober is er een update beschikbaar die het lek dicht.
  • Bij de meeste websites is die update al geïnstalleerd, of gebeurt dat door je hostingpartij of webbouwer zonder dat je er iets van merkt.
  • Je hoeft maar één ding te doen: even navragen of het bij jouw website geregeld is. Verderop lees je precies hoe.
  • PHP is nog steeds een prima en veilige keuze voor een website. Hoe dat zit, leggen we hieronder uit.

Wat is PHP eigenlijk?

Een website bestaat uit twee kanten. De voorkant is wat je bezoekers zien: teksten, foto's, knoppen. De achterkant is het deel dat het werk doet: een contactformulier versturen, een bestelling verwerken, nieuwe blogberichten tonen. PHP is de programmeertaal waarin die achterkant vaak geschreven is.

Vergelijk het met een restaurant. Je gasten zien de eetzaal, maar het eten wordt in de keuken gemaakt. PHP is een deel van die keuken. Je ziet het als bezoeker nooit, maar het zorgt ervoor dat alles werkt.

PHP wordt al ruim dertig jaar gebruikt en is enorm populair. Van alle websites waarvan bekend is met welke techniek ze gebouwd zijn, draait ruim twee derde op PHP. Bekende systemen als WordPress zijn erin gemaakt, net als de websites die wij bouwen met Laravel en Filament. Heb je een website, dan is de kans dus groot dat die op PHP draait, ook als je dat zelf nooit wist.

Wat is er vorige week gebeurd?

Beveiligingsonderzoekers ontdekten twee fouten in PHP zelf. Kort gezegd konden kwaadwillenden daardoor in sommige gevallen binnenkomen op de computer waarop een website draait (de server), zonder dat ze een wachtwoord nodig hadden. Dat is ernstig, en daarom kreeg het nieuws ook zoveel aandacht. In de techwereld heet het lek PHP2Shell.

Zie het als een slotenfabrikant die ontdekt dat een veelgebruikt type slot een zwakke plek heeft. Het goede nieuws: de fabrikant heeft meteen een verbeterd slot uitgebracht. Wat er nu moet gebeuren, is dat dat nieuwe slot op elke deur komt.

Er waren al pogingen van hackers om het lek te misbruiken, ook al vóór de oplossing er was. Daarom gingen sommige organisaties, waaronder een aantal Nederlandse overheids- en onderwijsinstellingen, uit voorzorg even offline. Dat was een voorzorgsmaatregel; voor zover bekend is daar niet ingebroken.

Je vragen en zorgen

Dit zijn de vragen die we de afgelopen dagen het vaakst hoorden.

  • Is mijn website gehackt?
    Waarschijnlijk niet. Dat er een lek bestond, betekent niet dat elke website is aangevallen. Is de update op tijd geïnstalleerd, dan is het lek bij jouw website dicht. Twijfel je, vraag dan je hostingpartij of webbouwer of zij iets bijzonders hebben gezien. Zij kunnen dat controleren.
  • Moet ik zelf iets technisch doen?
    Nee. Het bijwerken van PHP is werk voor je hostingpartij of webbouwer. Het enige wat jij hoeft te doen, is navragen of het geregeld is. Heb je een onderhoudscontract, dan is dit precies waar dat voor bedoeld is.
  • Merk ik er iets van als de update wordt geïnstalleerd?
    Meestal niet. De update werkt achter de schermen. Hooguit is je website heel even niet bereikbaar terwijl de server opnieuw opstart.
  • Is PHP nog wel veilig? Moet ik overstappen?
    Overstappen is niet nodig. Alle software heeft af en toe beveiligingslekken, ook Windows, je iPhone en je bankapp. Daarom krijg je daar ook steeds updates voor. Wat telt, is hoe snel een lek wordt opgelost. Bij PHP was de oplossing er binnen een dag na het uitlekken van het nieuws. Een overstap naar een andere techniek kost veel tijd en geld en maakt je website niet automatisch veiliger.
  • Ik wil een nieuwe website laten maken. Moet ik PHP nu vermijden?
    Nee. PHP wordt door een grote groep ontwikkelaars wereldwijd bijgehouden en krijgt regelmatig updates. Juist omdat zoveel mensen het gebruiken en controleren, worden fouten gevonden en opgelost. Belangrijker dan de taal is dat je website na de lancering goed wordt onderhouden. Vraag daar dus naar als je een webbouwer kiest.
  • Kost dit me geld?
    Bij de meeste hostingpartijen en onderhoudscontracten zit het bijwerken van PHP gewoon inbegrepen. Alleen als je website op een heel oude PHP-versie draait, kan het zijn dat er wat werk nodig is om hem naar een nieuwere versie over te zetten. Dat is dan sowieso verstandig, want oude versies krijgen geen beveiligingsupdates meer.

Wat kun je nu doen?

Drie eenvoudige stappen, zonder technische kennis.

  1. 01

    Stuur een kort berichtje

    Mail of bel je hostingpartij of webbouwer met de vraag: 'Is de PHP-update tegen het PHP2Shell-lek van 21 oktober al geïnstalleerd op mijn website?' Ze weten direct wat je bedoelt.

  2. 02

    Vraag naar de PHP-versie

    Vraag ook op welke PHP-versie je website draait en of die nog updates krijgt. Is dat niet zo, laat dan een plan maken om de website bij te werken.

  3. 03

    Regel je onderhoud

    Heb je geen onderhoud geregeld voor je website? Dan is dit een goed moment. Met regelmatig onderhoud worden dit soort updates voor je geïnstalleerd, zodat je er zelf niet wakker van hoeft te liggen.

Waarom dit eigenlijk goed nieuws is

Het klinkt misschien vreemd, maar dit verhaal laat vooral zien dat het systeem werkt. Onderzoekers vonden de fout, meldden die bij de makers van PHP, en die brachten snel een oplossing uit. Hostingpartijen, beveiligingsbedrijven en webbouwers kwamen direct in actie. Bij software die door miljoenen mensen wordt gebruikt en gecontroleerd, gaat dat zo.

De echte les gaat dan ook niet over PHP, maar over onderhoud. Een website is geen folder die je één keer drukt; het is eerder een auto die af en toe een beurt nodig heeft. Websites die regelmatig worden bijgewerkt, waren binnen een paar dagen weer veilig. Websites waar al jaren niemand naar heeft gekeken, lopen het meeste risico.

Twijfel je of jouw website goed in orde is, of wil je een nieuwe website waar je je geen zorgen over hoeft te maken? Neem gerust contact met ons op, dan kijken we even met je mee.

Voor wie het technisch wil weten

Het gaat om de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619, allebei met een CVSS-score van 9.2. De lekken zijn opgelost in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, uitgebracht op 21 oktober 2026. Voor PHP 7.4, 8.0 en 8.1 zijn er alleen patches als broncode; PHP 7.3 en ouder krijgt geen oplossing meer. Na het updaten moeten alle PHP-processen opnieuw gestart worden.

Meer lezen:

Klaar om samen aan de slag te gaan?

Benieuwd wat we voor jouw website kunnen betekenen? Neem vrijblijvend contact met ons op. We denken graag met je mee.

Neem contact op