Op 20 oktober 2026 waarschuwde het beveiligingsteam van PHP voor twee ernstige beveiligingslekken. Beide kregen een score van 9,2 op 10. Voor 21 oktober om 16.00 uur Spaanse tijd is een beveiligingsupdate aangekondigd. Ook de Europese cybersecurityorganisatie CERT-EU heeft een waarschuwing gepubliceerd.
PHP is een programmeertaal die achter de schermen van veel websites draait, waaronder WordPress. De taal wordt uitgevoerd op de computer van je hostingprovider, de server waarop je website staat. Volgens W3Techs gebruikte op 19 oktober 2026 69,4% van de websites waarvan de gebruikte servertaal bekend is PHP. Dat grote aandeel verklaart waarom het nieuws veel website-eigenaren aangaat. Het betekent overigens niet dat al die websites door deze twee lekken getroffen zijn.
Wat is er precies ontdekt?
In PHP zijn twee fouten ontdekt die ernstig genoeg zijn om met spoed te worden verholpen. Ze hebben de registratienummers CVE-2026-109618 en CVE-2026-109619. CERT-EU noemt als mogelijk risico dat iemand via internet schadelijke opdrachten kan laten uitvoeren op een kwetsbare server. Dat oordeel is mede gebaseerd op meldingen van derden. Bij de eerste waarschuwing waren de volledige technische details nog niet officieel gepubliceerd.
Welke PHP-versies precies getroffen zijn, moet blijken uit de informatie die met de beveiligingsupdate verschijnt. Daarom valt op basis van de waarschuwing alleen nog niet vast te stellen of een bepaalde website kwetsbaar is. Een kritieke score vraagt wel om snelle controle door de hostingprovider of degene die de server beheert.
Wat betekent dit voor een WordPress-website?
WordPress gebruikt PHP om pagina's op te bouwen, gegevens te verwerken en onderdelen van de website te laten werken. Je kunt WordPress, je thema en al je plugins netjes bijwerken en toch nog een PHP-update nodig hebben. De PHP-versie wordt namelijk beheerd via de hosting, meestal door de hostingprovider of de technisch beheerder.
Dat verschil is vooral belangrijk wanneer je dacht dat automatische WordPress-updates al het technische onderhoud regelen. Als er een beveiligingslek in PHP zit, moet ook de software op de server worden gecontroleerd. Of er voor jouw website iets moet gebeuren, hangt af van de gebruikte PHP-versie, de beveiligingsupdates die de provider al heeft uitgevoerd en de officiële informatie over deze lekken.
Over het onderhoud van de andere onderdelen van WordPress schreef ik eerder in het artikel WordPress-plugins: wanneer worden het er te veel?.
Hoe kun je zelf controleren welke PHP-versie je hebt?
Log in op je WordPress-dashboard en ga naar Gereedschap, Sitediagnose, Info en vervolgens Server. Daar staat de PHP-versie die je website gebruikt. Je kunt deze informatie vaak ook vinden in het beheerpaneel van je hostingprovider. Kun je het nergens terugvinden, dan kan je hostingprovider het voor je nakijken.
Een versienummer alleen vertelt nog niet of de nieuwe beveiligingsproblemen zijn opgelost. Sommige hostingproviders installeren beveiligingsverbeteringen op een bestaande PHP-versie zonder dat het nummer zichtbaar verandert. Vraag je hostingprovider daarom of de server waarop jouw website draait door de twee aangekondigde PHP-lekken wordt getroffen en of de benodigde beveiligingsupdates zijn toegepast of ingepland.
Heb je je website laten bouwen of onderhouden door een externe partij, controleer dan wie verantwoordelijk is voor dit onderdeel. WordPress-onderhoud en serveronderhoud worden bij sommige hostingpakketten apart geregeld. Het is nuttig om te weten bij wie je terechtkunt zodra er een dringende beveiligingsupdate nodig is.
Wat gebeurt er als je website een update nodig heeft?
Zodra de verbeterde PHP-versies beschikbaar zijn, moet de verantwoordelijke beheerder controleren of jouw server een update nodig heeft. Als dat zo is, hoort de beveiligingsupdate zo snel mogelijk te worden uitgevoerd. Ga niet zonder voorbereiding zelf een andere PHP-versie kiezen. Vooral bij oudere websites kan dat gevolgen hebben voor de werking van bestaande plugins, thema's of speciaal gemaakte functies.
Een recente back-up is daarom belangrijk. Na een wijziging moet worden nagekeken of de website nog normaal werkt, inclusief contactformulieren, inloggen, betalingen en eventuele reserveringssystemen. Zijn er aanwijzingen dat iemand eerder toegang heeft gekregen tot de website of server, dan is ook verder beveiligingsonderzoek nodig.
Hebben websites die niet op WordPress draaien hetzelfde risico?
Dat hangt af van de techniek waarmee de website is gemaakt. Een website die PHP gebruikt, kan mogelijk geraakt worden als de betreffende PHP-versie kwetsbaar blijkt. Er zijn ook websites die zonder PHP werken. Met Astro kunnen pagina's bijvoorbeeld vooraf als gewone webpagina's worden opgebouwd, zodat er geen PHP nodig is wanneer een bezoeker de pagina opent.
Op die manier gebouwde pagina's worden niet geraakt door een beveiligingslek in PHP dat daar niet wordt gebruikt. Andere onderdelen, zoals het systeem waarmee je teksten aanpast, de hosting en externe koppelingen, moeten nog steeds veilig worden onderhouden. Welke techniek geschikt is, hangt af van wat de website moet kunnen en hoe het beheer is geregeld.
WordPress-onderhoud en beveiliging aan de Costa Blanca
De waarschuwing is een aanleiding om te controleren welke techniek je website gebruikt en wie de updates verzorgt. Bij Costa Wave Web help ik bedrijven aan de Costa Blanca met WordPress-onderhoud, beveiligingscontroles, back-ups en technische problemen. Ook bestaande websites die door een andere partij zijn gebouwd, kan ik controleren en onderhouden.
Meer informatie over deze werkzaamheden staat op de pagina WordPress websites, updates en fixes.
Bronnen
PHP Security Team, aankondiging van 20 oktober 2026
