PHP-lekcheck
Staat de update tegen het PHP-lek al op je website?
In oktober werden drie lekken in PHP bekend, en hosters haalden sites offline. Vul je website in en zie in een paar seconden welke PHP-versie je server meldt.
Gratis, zonder account. We bewaren je adres niet.
Het lek zit in PHP zelf, niet in je website.
PHP is de taal waarop een groot deel van alle websites draait, waaronder elke WordPress-site. Op 21 oktober 2026 bracht PHP een noodupdate uit voor twee lekken waarmee iemand van buitenaf een webserver kan overnemen. De update zit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder komt er geen nieuwe release meer.
De lekken worden inmiddels actief misbruikt. Op 26 oktober zette de Amerikaanse cyberdienst CISA ze op haar lijst van misbruikte lekken; de eerste aanvalspoging was al op 17 oktober, vier dagen voor de bekendmaking.
Op 23 oktober meldde PHP nog een lek. Dat zit ook in de bijgewerkte versies, maar werkt alleen bij een ongebruikelijke combinatie van instellingen en code. Een update komt met de volgende gewone release; tot dan raadt PHP aan om session.upload_progress.enabled op 0 te zetten. Lees wat dat voor je betekent.
Bronnen: beveiligingsmeldingen van PHP, waarschuwing van het NCSC, lijst van misbruikte lekken van CISA en het Reformatorisch Dagblad over hosters die sites offline haalden.
Vier dingen, in deze volgorde.
Vraag je hoster om de update
Vraag welke PHP-versie je site draait en of de update van 21 oktober erop staat. Bij gedeelde hosting kan alleen de hoster dit doen.
Laat een instelling uitzetten
Tegen het lek van 23 oktober is nog geen update. Laat session.upload_progress.enabled op 0 zetten in php.ini of de serverconfiguratie, tot de volgende release er is.
Laat nakijken of er iemand binnen was
Een update dicht het lek, maar haalt geen eerdere inbraak weg. Laat je bouwer kijken naar nieuwe bestanden en nieuwe beheerders sinds 21 oktober.
Kijk verder dan deze week
PHP 8.2 krijgt na 31 december 2026 geen beveiligingsupdates meer. Draai je daarop, plan dan nu al de overstap.
Black Friday 2026, tot en met 30 november
Een nieuwe website zonder PHP, gratis.
Wij bouwen websites die geen PHP nodig hebben: snel, bijgewerkt en met meting erin, zodat je per advertentie ziet wat die oplevert, van klik tot klant.
Teken tot en met 30 november voor een jaar met Stevin.AI, dan bouwen we je nieuwe website gratis, met een jaar hosting erbij. Vijf plekken, op volgorde van tekenen. Laat je gegevens achter, dan bellen we je.
Aan de actie zitten voorwaarden. Die staan op de Black Friday-pagina, en we lopen ze samen door. Je domein blijft van jou.
Wat je moet weten over het PHP-lek
Wat is het PHP-lek van oktober 2026?
Op 21 oktober 2026 werden twee kritieke lekken in PHP zelf bekend (CVE-2026-109618 en CVE-2026-109619). Via die lekken kan iemand van buitenaf een webserver overnemen. Omdat een groot deel van alle websites op PHP draait, haalden hosters als Yourhosting en MijnDomein sites uit voorzorg offline.
Welke PHP-versies zijn veilig?
De update tegen de lekken van 21 oktober zit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Elke eerdere versie in die reeksen heeft die lekken. Voor PHP 8.1 en ouder brengt PHP geen nieuwe release meer uit; daar bestaan alleen losse reparaties. Let op: het lek van 23 oktober zit ook in deze bijgewerkte versies.
Wordt het lek al misbruikt?
Ja. Amazon zag al op 17 oktober een aanvalspoging, vier dagen voor de bekendmaking, en meldt nu breed misbruik. Op 26 oktober zette de Amerikaanse cyberdienst CISA beide lekken van 21 oktober op haar lijst van lekken die actief worden misbruikt. Draait je site nog op een versie zonder de update, regel die dan vandaag.
Is er na 21 oktober nog een lek gevonden?
Ja. Op 23 oktober meldde PHP een derde lek, CVE-2026-115560. Het werkt alleen bij een ongebruikelijke combinatie van instellingen en code, en zit ook in de bijgewerkte versies. Een update komt met de volgende gewone release. Tot dan raadt PHP aan om session.upload_progress.enabled op 0 te zetten, in php.ini of de serverconfiguratie.
Helpt het als ik WordPress en mijn plugins bijwerk?
Nee. Het lek zit in PHP op de server, niet in WordPress. Een WordPress-update of een beveiligingsplugin lost dit niet op. De PHP-versie op de server moet omhoog, en dat doet meestal je hoster.
Mijn site toont geen PHP-versie. Ben ik dan veilig?
Niet per se. Veel servers houden hun versie voor zich, en dat is netjes. Het betekent alleen dat je het van buitenaf niet ziet. Vraag je hoster welke PHP-versie draait en of de update van 21 oktober erop staat.
De update staat erop. Ben ik nu klaar?
Nog niet helemaal. Zet ook session.upload_progress.enabled op 0 tot de volgende release, vanwege het lek van 23 oktober. En een update dicht het lek, maar haalt geen inbraak weg die er al was. Laat je bouwer nakijken of er sinds 21 oktober bestanden of beheerders zijn bijgekomen.
Kan ik mijn huidige site laten ombouwen?
Meestal wel. We kijken eerst wat je site doet. Een gewone bedrijfssite bouwen we opnieuw op zonder PHP, met je huidige teksten en beelden. Heb je een webshop, een inlog of een boekingssysteem, dan zeggen we vooraf eerlijk wat er zonder PHP wel en niet kan. Tot en met 30 november geldt onze Black Friday-actie: teken je voor een jaar met Stevin.AI, dan bouwen we je nieuwe site gratis, met een jaar hosting erbij. Vijf plekken; de voorwaarden staan op stevin.ai/black-friday.
Hoe stap ik over van PHP?
Dat kan op twee manieren. Je blijft op PHP en zorgt dat je hoster elke update installeert; met WordPress houd je dan ook zelf je thema en plugins bij. Of je laat je site ombouwen naar een site die geen PHP nodig heeft, zonder database en zonder plugins die je moet bijwerken. Die tweede weg bouwen wij.
Hoe update ik PHP op mijn website?
Bij gedeelde hosting kies je de PHP-versie vaak zelf in het beheerpaneel van je hoster. Maak eerst een back-up, kies dan de nieuwste versie die je hoster aanbiedt en kijk of je site het nog doet, want oude thema's en plugins werken soms niet met een nieuwe PHP-versie. Of de update van 21 oktober in die versie zit, weet alleen je hoster: vraag het na en draai daarna de check opnieuw.
Wat doet deze check precies?
We halen je voorpagina op zoals een gewone bezoeker dat doet, en lezen wat je server zelf meldt over PHP en welk systeem je site gebruikt. We vallen niets aan, veranderen niets en bewaren je adres niet. Instellingen zoals session.upload_progress.enabled zie je van buitenaf niet.