Lek in PHP (PHP2Shell): wat het betekent voor jouw website en wat je nu doet

Op woensdag 21 oktober 2026 gingen opvallend veel websites tegelijk offline. Ook bekende overheidssites zoals DigiD, MijnOverheid, Overheid.nl en de Belastingdienst waren een tijdje niet bereikbaar. De oorzaak was geen storing, maar een ernstig beveiligingsprobleem in PHP. Wat is er gebeurd? En moet jij er als ondernemer iets mee? In dit artikel lees je het.

Wat is PHP eigenlijk?

PHP is een programmeertaal die op de server draait, dus achter de schermen van je website. Je ziet het niet, maar veel websites werken ermee. Volgens het Nationaal Cyber Security Centrum (NCSC) draaien onder andere WordPress, Joomla en Drupal op PHP. Heb je een WordPress-site? Dan gebruikt jouw website vrijwel zeker PHP.

Wat is er gebeurd?

In PHP zijn twee ernstige lekken gevonden. Samen worden ze PHP2Shell genoemd. Ze kregen een ernstscore van 9,2 op een schaal van 10. Via deze lekken kan een aanvaller op afstand code uitvoeren op een server, zonder in te loggen. In het ergste geval neemt iemand dan je hele server over.

De updates zouden eigenlijk op donderdag 22 oktober verschijnen. Maar op dinsdagavond 20 oktober lekte er al informatie uit. De PHP Foundation haalde de updates daarom een dag naar voren, naar woensdag 21 oktober. Omdat er al details rondgingen terwijl er nog geen oplossing was, haalden veel organisaties hun websites uit voorzorg offline. Ook de website van het NCSC zelf lag een paar uur plat.

Hoe groot is het risico nu?

Daarover lopen de berichten uiteen. Amazon zegt dat de eerste aanvallen al op 17 oktober plaatsvonden, dus vier dagen voordat de lekken bekend werden. Volgens Amazon wordt het lek inmiddels op grote schaal misbruikt. Ook de Amerikaanse cyberdienst CISA waarschuwt voor misbruik.

Het NCSC is voorzichtiger. Op 23 oktober meldde het dat misbruik ingewikkeld is en dat de kans op grootschalig misbruik kleiner is dan eerst gedacht. Wel blijft het advies hetzelfde: update zo snel mogelijk.

De nuchtere conclusie: geen paniek, maar ook niet afwachten.

Wat betekent dit voor jouw website?

Het lek zit in PHP zelf, niet in WordPress of in je thema. WordPress liet op 21 oktober weten dat er geen WordPress-update nodig is voor dit probleem. Het gaat om de software op de server.

Dat betekent dat het vooral om de PHP-versie gaat waarop je website draait. De versies met de oplossing zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 7.4 tot en met 8.1 komt er geen gewone officiële oplossing. Oudere versies dan 8.2 krijgen sowieso geen beveiligingsupdates meer van het PHP-project.

Dat oude versies een echt probleem zijn, blijkt ook uit de cijfers. In Nederland zijn bijna 20.000 installaties geteld die een PHP-versie draaien die geen updates meer krijgt. Het echte aantal ligt waarschijnlijk hoger.

Wat kun je nu doen?

1. Kijk welke PHP-versie je website gebruikt. In WordPress vind je dat onder Hulpmiddelen > Sitediagnose > Info > Server. Vaak staat het ook in het beheerpaneel van je hostingpartij.
2. Vraag je hostingpartij of de update is geïnstalleerd. Bij een gewoon hostingpakket regelt je hostingpartij PHP meestal voor je. WordPress raadt toch aan om dit even na te vragen. Een kort mailtje is genoeg.
3. Draai je op een versie ouder dan 8.2? Plan een overstap. Maak eerst een back-up. Controleer daarna of je thema en plug-ins werken met een nieuwere PHP-versie. Twijfel je? Laat je webbouwer of hostingpartij meekijken.
4. Let op vreemde dingen. Amazon raadt beheerders aan om te controleren op misbruik vanaf 17 oktober. Als gewone gebruiker kun je kijken of er onbekende beheerders in je WordPress staan, of je site ineens rare pagina's of doorverwijzingen heeft, of je klachten krijgt over spam.
5. Houd ook de rest bij. Dit lek zat in PHP, maar ook WordPress, plug-ins en thema's krijgen regelmatig beveiligingsupdates. Lees er meer over in ons artikel over gekaapte domeinextensies en een WordPress-update.
6. Zorg voor een goede back-up. Gaat er toch iets mis, dan wil je terug kunnen naar een versie van vóór het probleem.

Waarom dit vaker gebeurt

Na de drukte kwam er ook aandacht voor de mensen achter PHP. De PHP Foundation heeft moeite om genoeg geld bij elkaar te krijgen. Er werkt maar één persoon vast in dienst, met hulp van 14 freelancers die vooral parttime werken. Dat terwijl een groot deel van het web op PHP draait.

Voor jou als ondernemer is de les eenvoudig. Je website draait op software die je zelf niet ziet. Je hoeft niet alles zelf te weten. Maar je wilt wel weten wie het voor je bijhoudt, en hoe snel die partij reageert als er iets aan de hand is.

Kort samengevat

• Op 21 oktober 2026 kwamen er noodupdates voor twee ernstige lekken in PHP.
• Het NCSC schat de kans op grootschalig misbruik nu lager in, maar adviseert nog steeds om meteen te updaten.
• Check je PHP-versie, vraag je hostingpartij of de update erop staat en stap over als je een oude versie gebruikt.

Host je bij Blurry Clouds en wil je weten hoe het met jouw website zit? Stel je vraag gerust aan onze Nederlandse support.