Vier dagen na de noodpatches voor PHP2Shell is de vraag voor de meeste ondernemers niet meer óf ze iets moeten doen, maar of het al gedaan is. Op 21 oktober bracht PHP updates uit voor twee kritieke lekken, CVE-2026-109618 en CVE-2026-109619, die onderzoekers van Wiz met AI-modellen als Gemini 4 Argon en GPT-5.6 Sol hadden gevonden (Bron: Wiz). Volgens Wiz draait zo’n 70 procent van alle websites op PHP, en zelfs een kale “Hello World”-pagina bleek te kraken (Bron: Wiz). Draait jouw bedrijfssite of webshop op WordPress, WooCommerce, Joomla of Drupal, dan draait hij op PHP.
Wat er die dag bij DigiD en MijnOverheid gebeurde, lees je in onze reconstructie op Het Laatste AI Nieuws. Hier gaat het om wat jij als ondernemer nu regelt.
Waarom je nu niet kunt wachten
De aanvallers zijn snel. Cloudflare zag 45 minuten na de bekendmaking al tienduizenden aanvalspogingen, en begin 22 oktober waren het er miljoenen (Bron: The Hacker News). Volgens Amazon was er zelfs al op 17 oktober een poging, vier dagen vóór de bekendmaking (Bron: The Hacker News). Beveiligers van Sophos en Arctic Wolf zagen aanvallers proberen een variant van de Mirai-botnetmalware te installeren, waarmee gekaapte servers worden ingezet voor overbelastingsaanvallen (Bron: The Hacker News).
Een geslaagde inbraak is tot 23 oktober door geen van die bedrijven bevestigd; onderzoekers zeggen dat een betrouwbare aanval lastiger te bouwen is dan gedacht (Bron: The Hacker News). Reken daar niet op. Het NCSC was duidelijk: zolang er niet is bijgewerkt, is elk systeem met PHP dat vanaf internet bereikbaar is “vermoedelijk kwetsbaar” (Bron: Rijksoverheid).
Beginner-tip: Je PHP-versie vind je meestal in het beheerpaneel van je hoster, onder iets als “PHP-instellingen”. Gebruik je WordPress, kijk dan onder Extra > Sitestatus > Info > Server. Veilig zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35, of nieuwer.
Vijf vragen voor je hoster of webbouwer
Je hoeft het niet zelf te repareren. Wel moet je zeker weten dat iemand het gedaan heeft. Stuur deze vijf vragen:
- “Zijn al mijn sites bijgewerkt voor CVE-2026-109618 en CVE-2026-109619?” Noem de nummers; dan weet de helpdesk direct waar het over gaat.
- “Op welke PHP-versie draait elke site nu?” Vraag om het versienummer, niet om “ja, alles is veilig”.
- “Staan er nog oude sites, testomgevingen of subdomeinen op mijn account?” Denk aan de actiesite van 2021 of de staging-kopie die de webbouwer ooit maakte.
- “Draait er iets op PHP 8.1 of ouder, en wanneer gaat dat naar 8.2 of nieuwer?”
- “Gebruik je tot die tijd een tijdelijke bescherming?”
Vraag vier is de belangrijkste. Voor PHP 7.4, 8.0 en 8.1 brengt PHP geen officiële update uit, alleen minimale broncode-fixes voor wie PHP zelf compileert, en dat doet een gewone hosting-klant niet (Bron: CybelAngel). Op basis van Shodan-tellingen draaien wereldwijd zo’n 884.000 servers op een PHP-versie zonder officiële fix (Bron: CybelAngel). Ook 8.2 krijgt nog maar tot 31 december 2026 beveiligingsupdates, dus wie nu toch upgradet, kan beter direct naar 8.3 of nieuwer.
Gevorderden: Sommige hosters overbruggen de tijd met een eigen fix. Hostingbedrijf Hosted Power bracht een gratis PHP-extensie uit die het kwetsbare onderdeel uitschakelt en zette die op al zijn beheerde servers. CEO Jo Goossens noemt de officiële update wel “de enige volledige oplossing” (Bron: Dutch IT Channel). Een tijdelijke fix is dus uitstel, geen afstel van de upgrade.
Ruim je vergeten sites op
Het grootste risico zit zelden in je hoofdsite. Die wordt bijgehouden. Het zit in wat je vergeten bent: een oude webshop, een landingspagina van een beurs, een testomgeving. Toen onderzoekers van Hunt.io de doelwitten van één aanvaller bekeken, draaiden veel van de servers op PHP 5.x tot 7.x, versies die al jaren geen updates krijgen (Bron: The Hacker News).
Gebruik je een site niet meer, laat hem dan verwijderen in plaats van hem te laten staan. Kun je hem niet missen maar ook niet bijwerken, dan adviseren beveiligers om de toegang af te schermen, bijvoorbeeld met een IP-filter, of de site tijdelijk offline te halen (Bron: CybelAngel). Wijzig daarnaast bij twijfel de wachtwoorden van beheeraccounts en de koppelingen (API-sleutels) die op zo’n oude server stonden.
Er komt meer
PHP meldde op 23 oktober al een derde, los risico: CVE-2026-115560. Dat speelt alleen bij een zeldzame combinatie van sessie-instellingen, PHP zelf spreekt van een “unlikely risk”, en de fix komt mee in de volgende gewone update (Bron: The Hacker News). Heeft je hoster na 21 oktober de instelling session.upload_progress.enabled op 0 gezet, dan is ook dit afgedekt.
Het grotere punt: dit lek is met AI gevonden, en dezelfde modellen maken het zoeken ook voor aanvallers goedkoper. Na Click2Shell in WordPress begin oktober en WP2Shell in de zomer is PHP2Shell het derde ernstige weblek in een paar maanden. Leg daarom één keer vast wie bij jou verantwoordelijk is voor updates, en hoe snel die moeten. Dat ene afspraakje met je webbouwer of hoster scheelt bij het volgende lek een dag zoeken.