PHP-lek PHP2Shell: loopt jouw website gevaar?

Deze week ging het in de webwereld bijna nergens anders over: PHP2Shell. Hostingpartijen draaiden overuren en sommige websites gingen zelfs tijdelijk offline. Snap je er weinig van en vraag je je af of jouw website gevaar loopt? Dan lees je hier in gewone taal wat er speelt.

Heb je een website van Wolkmedia? Dan kunnen we je geruststellen: jouw website draait niet op PHP, dus dit lek raakt jouw site niet. Verderop leggen we uit waarom, en wat je moet doen als je website wél op PHP draait.

Wat is er gebeurd?

Op dinsdag 20 oktober 2026 kondigde het team achter PHP een noodupdate aan voor twee kritieke beveiligingslekken. Het nieuws lekte al uit voordat de oplossing klaar was. Op woensdag 21 oktober verschenen de updates. Onderzoekers noemen de twee lekken samen PHP2Shell. Officieel heten ze CVE-2026-109618 en CVE-2026-109619.

Beide lekken krijgen een ernstscore van 9,2 op 10. Een aanvaller kan er onder bepaalde omstandigheden eigen code mee uitvoeren op de server van een website, zonder eerst in te loggen.

Wat is PHP en waarom raakt dit zoveel websites?

PHP is een programmeertaal die op de server van een website draait. Een groot deel van het internet is erop gebouwd. WordPress, WooCommerce, Joomla, Drupal, Magento en Shopware gebruiken allemaal PHP, net als veel maatwerksystemen.

Het lek zit niet in één plug-in of thema, maar in PHP zelf. Daardoor kunnen heel veel websites tegelijk geraakt worden.

Hoe gevaarlijk is het?

Behoorlijk. Cloudflare zag op 21 oktober al de eerste aanvallen, en Amazon meldt zelfs een aanvalspoging van vóór de officiële bekendmaking. Gaat een aanval goed, dan kan een aanvaller bijvoorbeeld:

• gegevens uitlezen die op de server staan, zoals contactaanvragen of klantgegevens;
• de website aanpassen of er schadelijke code in verstoppen;
• de website laten vastlopen of onbereikbaar maken;
• de server gebruiken om andere software of malware binnen te halen.

Let wel op: een website die PHP gebruikt, is niet automatisch gehackt. Het risico hangt af van de versie, de serverinstellingen en hoe snel de update is geïnstalleerd.

Gebruikt mijn website PHP?

Grote kans van wel als:

• je website op WordPress draait (je logt in via /wp-admin);
• je een webshop hebt in WooCommerce, Magento of Shopware;
• je website gebouwd is in Joomla of Drupal;
• je hostingpakket in het beheerpaneel een "PHP-versie" toont.

Weet je het niet zeker? Vraag het je webbouwer of hostingpartij.

Wat moet je doen als je website PHP gebruikt?

1. Neem vandaag nog contact op met je hostingpartij of webbouwer. Vraag niet alleen of de site werkt, maar of de PHP2Shell-update echt is geïnstalleerd.
2. Plug-ins bijwerken is niet genoeg. Het lek zit in PHP op de server, niet in WordPress of je thema.
3. Controleer de PHP-versie. Dit zijn de versies met de oplossing:

4. Draai je op PHP 8.1 of ouder? Die versies krijgen geen gewone updates meer van PHP. Vraag je hostingpartij naar een oplossing of stap over naar een nieuwere versie.
5. Laat bij twijfel controleren of er al misbruik is geweest. Een update dicht het lek, maar haalt geen code weg die er al in zit.

Zijn websites van Wolkmedia getroffen?

Nee. De websites die Wolkmedia bouwt, draaien niet op PHP en niet op WordPress. Ze zijn gebouwd met moderne techniek die geen PHP op de server nodig heeft. Er is dus ook geen PHP-update nodig.

We blijven wel eerlijk: geen enkele website is voor altijd onkwetsbaar. Losse diensten die je zelf aan je website koppelt, zoals een extern boekingssysteem of een apart e-mailpakket, vallen buiten de website zelf. Daarom houden we beveiliging en onderhoud bij al onze pakketten scherp in de gaten.

Ook belangrijk voor je vindbaarheid

Een gehackte of onbereikbare website kost je meer dan alleen gedoe. Google kan je website een waarschuwing geven of lager laten zien, en bezoekers haken af. Een veilige, snelle website is dus ook goed voor je aanvragen.

Twijfel je of je huidige website veilig is, of wil je af van WordPress-onderhoud en updates? Neem gerust contact op, dan kijken we vrijblijvend met je mee.