Laatst bijgewerkt: 21 oktober 2026, 16:04
PHP-lek: wat moet je doen?
Twee kritieke lekken in PHP (CVE-2026-109618 en CVE-2026-109619) maken het mogelijk om een webserver op afstand over te nemen, zonder in te loggen. Inmiddels is er een update. Wacht niet met installeren.
PHP zit in veel meer dan je denkt. Elke WordPress-site draait erop, net als veel webshops, klantportalen en interne tools.
Wat je vandaag regelt:
- • Zet op een rij welke websites en portalen je hebt: website, webshop, klantportaal, intranet.
- • Vraag je hostingpartij, webbouwer of IT-leverancier of deze op PHP draaien en of ze zijn bijgewerkt naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruikt je leverancier pakketten van een Linux-distributie, dan kan het versienummer afwijken. Vraag dan of het beveiligingspakket van vandaag is geïnstalleerd.
- • Draai je op PHP 8.1 of ouder? Daar brengt PHP zelf geen gewone update meer voor uit. Upgraden is de oplossing, of vraag je leverancier naar een gepatchte versie.
- • Lukt updaten vandaag niet? Overweeg de site offline te halen of af te schermen tot de update er staat. Tijdelijke maatregelen verkleinen het risico, maar maken je niet veilig.
Lees het officiële advies van PHP: https://www.php.net/archive/2026.php#2026-10-21-5
En het advies van het NCSC: https://www.rijksoverheid.nl/actueel/nieuws/2026/10/21/ncsc-ernstige-kwetsbaarheden-in-php
Twijfel je? Mail ons via info@htcyber.nl of bel gerust.