Wat is er aan de hand?
Het PHP-beveiligingsteam kondigde op 20 oktober aan dat er op woensdag 21 oktober 2026 een buitengewone beveiligingsrelease uitkomt, om 16:00 uur Nederlandse tijd. Het gaat om twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, die allebei een CVSS-score van 9,2 kregen. Volgens de eerste berichten kunnen kwaadwillenden daarmee op afstand code uitvoeren op een server. In het ergste geval nemen ze de server dan over.
CERT-EU, de cybersecuritydienst van de Europese instellingen, waarschuwde ook. Cloudflare meldde de eerste aanvalspogingen. En omdat het lek in PHP zelf zit en niet in één plug-in, raakt het veel meer dan alleen WordPress. Wereldwijd draait naar schatting zo'n 70 procent van de websites op PHP of op toepassingen die PHP gebruiken.
Het lek zit in PHP zelf, niet in een plug-in. Dat maakt de impact zo groot.
Wie loopt er risico?
Elke website die op een server met PHP draait, kan geraakt worden. Denk aan:
- een WordPress-, Joomla- of Drupal-site op shared hosting of een eigen server;
- een webshop op Magento of WooCommerce;
- een maatwerkportaal of koppeling die in PHP is gebouwd;
- elke site waarvan je niet zeker weet welke PHP-versie de hoster gebruikt.
Let vooral op de PHP-versie. Volgens de berichtgeving krijgen alleen ondersteunde versies (PHP 8.2 en hoger) een patch. PHP 8.1 en ouder zijn end-of-life en krijgen waarschijnlijk geen update meer. Welke versies precies kwetsbaar zijn, maakt het PHP-project bekend bij de release.
Wat kun je nu doen?
- Vraag je hostingpartij of webbouwer welke PHP-versie jouw site gebruikt.
- Laat de patch installeren zodra die beschikbaar is. Veel hosters doen dat automatisch, maar vraag het even na.
- Draait je site op PHP 8.1 of ouder? Plan dan een upgrade. Afwachten helpt niet.
- Werk je CMS, thema's en plug-ins bij en verwijder alles wat je niet meer gebruikt.
- Maak een back-up en kijk in de logs of er vreemde bestanden of vreemd verkeer te zien is.
- Heb je een firewall (WAF) voor je site? Controleer of die actueel is.
Let op: dit artikel is geschreven op 21 oktober 2026, de dag van de aangekondigde patch. Er komen de komende dagen nog details bij. Controleer php.net, het NCSC en je hostingpartij voor de laatste stand van zaken.
Waarom een Tilda-website hier anders in zit
Buro Flash bouwt websites in Tilda. Zo'n site draait niet op een eigen server met PHP, WordPress of plug-ins die jij of wij moeten patchen. De pagina's staan op de infrastructuur van het platform, en het beheer daarvan ligt bij Tilda. Voor onze klanten betekent dat: geen nood-update in het weekend en geen verouderde plug-ins die een achterdeur openzetten.
Eerlijk is eerlijk: geen enkele website is risicoloos. Sterke wachtwoorden, een veilig e-mailaccount en goed gekozen koppelingen met andere diensten blijven belangrijk. Maar een hele groep aanvallen, zoals dit PHP-lek, raakt je pagina's zelf niet. Meer over onze manier van werken lees je op de pagina websites laten maken. Twijfel je of jouw huidige site risico loopt? Neem contact op, dan kijken we gratis even mee. Wil je weten of Tilda of WordPress beter bij je past? Lees dan ons artikel Tilda of WordPress.