PHP-kwetsbaarheden oktober 2026: wat doe je met je website?
Door de PHP-waarschuwingen gingen Nederlandse websites preventief offline. Wat betekent dat voor jouw bedrijf? Gebruik deze vragen voor je hostingpartij en controleer daarna of je website nog doet wat klanten nodig hebben.
Door Elev8Studio
Waarom gingen Nederlandse websites offline?
De Rijksoverheid meldde op 21 oktober dat verschillende overheidswebsites uit voorzorg offline gingen vanwege twee PHP-lekken. Preventief offline halen betekent niet dat die websites aantoonbaar gehackt zijn. PHP is software waarmee onder meer websites en webapplicaties op een server draaien.
Het NCSC nuanceerde de situatie op 23 oktober: misbruik blijkt complexer dan aanvankelijk gedacht. Er was één melding van mogelijk misbruik buiten Nederland, zonder bevestiging dat dit was gelukt. Het advies blijft om zo snel mogelijk te updaten. Voor kwetsbare systemen zonder update adviseerde het NCSC deze offline te houden totdat de update is uitgevoerd.
Welke update moet je hostingpartij bevestigen?
Volgens PHP verhelpen versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 de twee kritieke kwetsbaarheden CVE-2026-109618 en CVE-2026-109619. Sommige leveranciers leveren de reparaties in hun eigen softwarepakketten, ook voor oudere versies. Een algemeen versienummer in je hostingpaneel is daarom onvoldoende bewijs: laat de leverancier de toegepaste patch bevestigen.
Op 23 oktober publiceerde PHP daarnaast een waarschuwing over sessie-uploadvoortgang, CVE-2026-115560. Die betreft een ongebruikelijke combinatie van instellingen en applicatiecode. PHP adviseert de functie zo nodig uit te schakelen tot de volgende reguliere bugfix. Laat je beheerder ook dit aanvullende advies beoordelen; de eerdere update is geen algemene garantie dat alles veilig is.
Je hoeft als ondernemer niet zelf serverinstellingen te wijzigen. Spreek af wie het technische antwoord geeft en wie controleert of je klantprocessen daarna werken. Vraag om een bevestiging voor jouw domeinen en toepassingen, niet alleen om een algemene statusmelding dat de hostingpartij bezig is.
Vul dit werkblad samen met je host in
| Vraag | Wat leg je vast? |
|---|---|
| Welke onderdelen zijn gecontroleerd? | Domein, eventuele subdomeinen, webshop of klantportaal en de verantwoordelijke beheerder. Noteer expliciet als een onderdeel geen PHP gebruikt. |
| Wat draait er daadwerkelijk? | De actieve versie of het leverancierspakket voor deze toepassing, plus de bevestiging welke kwetsbaarheden de aangebrachte reparatie afdekt. |
| Wanneer is de wijziging actief geworden? | Datum, tijd, ticketnummer en bevestiging van de beheerder dat de gewijzigde software daadwerkelijk wordt gebruikt. |
| Is het aanvullende advies beoordeeld? | Laat de beheerder het PHP-bericht van 23 oktober beoordelen en vastleggen of een extra maatregel voor jouw toepassing nodig is. |
| Wat moet nog gebeuren? | Openstaande actie, eigenaar en afgesproken controlemoment. ‘Nog onbekend’ blijft open; het is geen akkoord. |
| Werkt het bedrijfsproces? | Wie controleert de belangrijke functies en waar staat het resultaat? Bewaar dit los van de technische patchbevestiging. |
Download het lege controlewerkblad
Het CSV-bestand bevat de vragen en ruimte voor het antwoord, de verantwoordelijke en de controledatum. Open het in Excel of Google Sheets. Zet er geen wachtwoorden, toegangssleutels of klantgegevens in.
Download het CSV-werkbladControleer na de update je belangrijkste klantreis
Kies eerst de route waarmee een klant normaal contact opneemt of een bestelling doet. Spreek met de ontvanger af dat je een test uitvoert en gebruik herkenbare testgegevens. Noteer het tijdstip en het resultaat. Alleen een bedankmelding op het scherm bewijst niet dat de aanvraag op de juiste plek is ontvangen.
| Onderdeel | Wat controleer je? |
|---|---|
| Contactformulier | Verstuur één afgesproken TEST-aanvraag vanaf mobiel. Controleer de bevestiging én de echte ontvangst op de bedoelde plek. |
| Inloggen of uploaden | Gebruik een toegestaan testaccount en een onschuldig testbestand als deze functies bestaan. Controleer inloggen, uitloggen en de bestemming van het bestand. |
| Webshop | Controleer de bestelroute in een beschikbare testomgeving met testbetaling. Maak niet zomaar een echte order of betaling aan. |
| Koppeling of vervolgactie | Controleer of de test eenmaal op de bedoelde bestemming aankomt. Leg een ontbrekende of dubbele verwerking vast voor de beheerder. |
Dit werkblad helpt je de overdracht organiseren. Het is geen beveiligingsonderzoek en bewijst niet dat er eerder geen inbraak is geweest. Zie je vreemde pagina’s, onbekende wijzigingen of ongewenste doorverwijzingen? Laat je host dat afzonderlijk onderzoeken en bewaar de waarnemingen. Een update uitvoeren en een bestaande besmetting verwijderen zijn verschillende werkzaamheden.
Zie je al tekenen van een hack?
Onze bestaande gids beschrijft hoe je waarnemingen verzamelt en onderzoek met je beheerder afstemt. Gebruik die route voor een mogelijk incident; de checklist hierboven is gericht op de update en overdracht.
Lees het stappenplan bij een gehackte websiteWaar kan Elev8Studio je bij helpen?
Heb je een websiteprobleem of werkt een belangrijke functie niet meer? We kunnen je situatie bespreken en afbakenen welk onderzoek of herstel nodig is. Werkzaamheden en prijs spreken we vooraf af. De beheerder van je hosting moet de status van zijn server bevestigen; een gesprek met ons vervangt die bevestiging niet.
Onze publieke websitecheck kan geen betrouwbare uitspraak doen over de PHP-patchstatus of uitsluiten dat je website gehackt is. Deel bij een beoordeling je websiteadres, het zichtbare probleem en de niet-vertrouwelijke bevestiging van je host. Stuur geen inloggegevens via het formulier. Een kwetsbaarheidsmelding betekent ook niet automatisch dat je een nieuwe website nodig hebt.
Bespreek je websiteprobleem
Vertel wat er misgaat en wat je hostingpartij al heeft gecontroleerd. Dan bespreken we een passende vervolgstap en de afbakening van eventueel herstel. Neem voor een urgente PHP-update eerst direct contact op met je host.
Vraag een beoordeling aanBronnen en verdere uitleg
De bronnen geven achtergrond bij de genoemde functies en gegevens. De keuzehulpen en voorbeelden zijn bedoeld om je eigen situatie te beoordelen.
Veelgestelde vragen
Is alleen WordPress bijwerken voldoende?
Een update van je websitebeheer is geen bewijs dat ook de software op de server is bijgewerkt. Vraag je hostingpartij om bevestiging voor de actieve PHP-installatie en laat de websitefuncties daarna controleren.
Mijn website is online. Betekent dat dat alles is opgelost?
Nee. Bereikbaar zijn, bijgewerkt zijn en vrij zijn van een eventuele besmetting zijn verschillende vragen. Laat de patchstatus bevestigen en bespreek verdachte waarnemingen apart met je beheerder.
Moet ik vanwege deze PHP-melding een nieuwe website laten bouwen?
Niet automatisch. Begin met de technische beoordeling en de beschikbare herstel- of updateopties. Bespreek vernieuwing pas als duidelijk is waarom dat voor jouw situatie nodig of verstandig is.