In dit artikel
In dit artikel
Er is een ernstig lek gevonden in PHP, de techniek onder WordPress, WooCommerce, Magento en de meeste andere websites. De update is er sinds 16.00 uur: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De exploit is ook publiek. Werk nu bij.
Je hoeft geen techneut te zijn om dit te regelen. Heb je een website of webshop, dan draait daar vrijwel zeker PHP onder. Bij WordPress altijd. Meestal werkt je hostingpartij PHP voor je bij. Vraag ze vandaag wanneer dat gebeurt. Hieronder lees je eerst wat je nu doet. De technische details staan onderaan.
In het kort
- Wat: een ernstig lek in PHP, de techniek achter zo’n 7 van de 10 websites.
- Voor wie: sites en shops op WordPress, WooCommerce, Magento, Shopware, Drupal of Joomla, en intranetten en leeromgevingen op Nextcloud of Moodle.
- Wanneer: de update is uit sinds woensdag 21 oktober, 16.00 uur. Veilige versies: 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
- Misbruik: Cloudflare meldt de eerste aanvallen. Het NCSC heeft nog geen actief misbruik gezien. Sansec verwachtte grootschalig misbruik binnen een kwartier na de release van 16.00 uur.
- Wat je doet: vraag je hostingpartij om vandaag bij te werken. Beheer je zelf een server, werk dan nu bij.
Wat is er aan de hand?
PHP is de programmeertaal onder de motorkap van websites. Volgens W3Techs draait 69% van alle websites erop. Bekende systemen die op PHP zijn gebouwd: WordPress en WooCommerce, de webshopplatforms Magento, Shopware en PrestaShop, de cms’en Drupal, Joomla en TYPO3, en intranet- en leeromgevingen als Nextcloud en Moodle. Ook grote namen als Wikipedia, Etsy, Mailchimp en Tumblr draaien op PHP. Een fout in PHP zit dus onder al die systemen tegelijk.
Onderzoekers vonden twee fouten waarmee een aanvaller vanaf internet zijn eigen opdrachten op jouw server kan laten draaien. Lukt dat, dan kan hij je website aanpassen, klantgegevens kopiëren of je server inzetten voor nieuwe aanvallen. Hij hoeft daarvoor waarschijnlijk niet in te loggen.
Het beveiligingsteam van PHP wilde de fouten in stilte oplossen en later deze week een update uitbrengen. Op dinsdag 20 oktober lekte informatie over de lekken uit. PHP haalde de update daarom naar voren en kondigde aan dat die woensdag 21 oktober om 16.00 uur verschijnt. Dat is gebeurd: om 16.00 uur publiceerde PHP de nieuwe versies en de details. Beide fouten zitten in PHP zelf. Een plugin of thema uitschakelen helpt dus niet. Sinds vanochtend melden de beveiligingsbedrijven Aikido en Patchstack dat aanvallers het lek al gebruiken. Het NCSC heeft nog geen actief misbruik gezien, maar zegt dat het lek te misbruiken is met één simpel verzoek aan je website. Het vraagt organisaties om klaar te staan.
In Nederland haalden de Tweede Kamer, DigiD, MijnOverheid, Tweakers en het NCSC zelf hun websites uit voorzorg offline tot ze zijn bijgewerkt. Ook Notubiz, het vergadersysteem van zo’n 100 gemeenten, ging uit de lucht.
Volgens het PHP-team is de update de enige oplossing. Een instelling aanpassen of een extra filter voor je site zetten beschermt volgens hen niet tegen deze lekken. PHP-ontwikkelaar Gina Banyard zegt het zo: de enige oplossing is bijwerken, en een server een dag offline halen kan de verstandigste keuze zijn. Daarom draait vandaag alles om één ding: nu bijwerken.
Wat doe je vandaag?
1
Zet op een rij wat je hebt
Denk aan je website en webshop, maar ook aan een klantportaal, een intranet en oude testsites. Die laatste vergeet je snel. Weet je het niet zeker? Je hostingpartij of IT-partner kan het je vertellen.
2
Bel of mail je hostingpartij
Bij de meeste hostingpakketten werkt de hostingpartij PHP zelf bij. Stel drie vragen: werken jullie vandaag bij, geldt dat voor al mijn sites, en hoor ik het als het klaar is? Heb je een eigen server of VPS, dan werk je zelf bij of doet je IT-partner het. Zet dat nu klaar.
3
Installeer de update
PHP heeft de nieuwe versies gepubliceerd: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Hostingpartijen en Linux-distributies hebben vaak een paar uur nodig om ze aan te bieden. Controleer na het bijwerken of een van deze nummers echt draait. Beveiligingsbedrijf Sansec verwachtte dat aanvallers binnen een kwartier na de release op grote schaal toeslaan. Die release was om 16.00 uur. Wacht dus niet tot morgen.
4
Kun je vandaag nog niet bijwerken? Bescherm de site tijdelijk
Haal de site tijdelijk van internet of zet hem achter een VPN tot de update erop staat. Dat adviseren Aikido en CERT-EU, en grote Nederlandse sites doen vandaag precies dit. Het NCSC raadt aan om per systeem dat vanaf internet bereikbaar is een afweging te maken, en het zo nodig uit te zetten. Draait je site op PHP 8.1 of ouder, dan komt er voor jouw versie geen update meer. Plan dan een upgrade naar PHP 8.4 of 8.5 en test die eerst op een kopie van de site.
5
Controleer of er al iemand binnen is geweest
Aanvallers gebruiken het lek al. Kijk daarom na de update ook terug. Let op onbekende of gewijzigde bestanden, nieuwe beheerders en vreemd verkeer naar buiten. Aikido raadt aan om terug te kijken tot juni 2026. Zoek in je webserverlogs naar POST-verzoeken met multipart/form-data en een boundary met 618 of 619 erin. Controleer ook of je back-ups werken, zodat je altijd terug kunt.
Welke versie is veilig?
Staat links in de tabel jouw versie, werk dan bij naar het nummer rechts ernaast. Draai je PHP 8.1 of ouder, dan is er geen update. Upgraden naar 8.4 of 8.5 is dan de enige weg.
Welke PHP-versie heb ik? In WordPress staat het onder Sitediagnose › Informatie › Server. Bij andere systemen vind je het meestal in het beheerpaneel van je hosting. Je hostingpartij kan het je ook vertellen.
Veelgestelde vragen
PHP is de programmeertaal onder de motorkap van de meeste websites. WordPress, WooCommerce, Magento en veel webshops en portalen zijn erin gebouwd. Je ziet het nooit, maar het draait op de server die je website levert. Daarom raakt een fout in PHP zoveel sites tegelijk.
Meestal werkt de hostingpartij PHP voor je bij. Bel of mail wel om te vragen wanneer dat gebeurt en of het voor al je sites geldt. Heb je een eigen server of VPS, dan werk je zelf bij of doet je IT-partner het.
Cloudflare meldt de eerste aanvallen. Het NCSC heeft nog geen actief misbruik gezien. Beveiligingsbedrijf Sansec verwachtte dat aanvallers binnen een kwartier na de release van 16.00 uur op grote schaal toeslaan. Ga er dus van uit dat het nu begint. Hoe herken je een poging? Aanvallers sturen multipart-verzoeken met een boundary waarin het CVE-nummer staat, zoals B7kQpoc618. Zie je die in je logs, dan is er op je site geschoten.
Nee. Voor PHP 8.1 en ouder komt geen update meer. Plan een upgrade naar PHP 8.4 of 8.5 en test die eerst op een kopie van de site. Tot die tijd beperk je wie bij de site kan, bijvoorbeeld met een VPN, of haal je hem tijdelijk offline. Je bent niet de enige: naar schatting 18% van de WordPress-sites draait nog op 8.1 of ouder. Zit je bij een hostingpartij met cPanel, vraag dan of de ea-php-updates er al op staan.
Cloudflare blokkeert bekende aanvalspogingen voor verkeer dat via Cloudflare loopt. Dat helpt, maar het is geen vervanging van de update. Werk PHP toch bij.
Let op onbekende of gewijzigde bestanden, nieuwe beheerders in je website en vreemd verkeer naar buiten. Kijk terug tot juni 2026. Twijfel je, bel dan het Vallem CERT.
Een lek in software hoef je op zich niet te melden. Een incident waarbij iemand binnen is geweest of gegevens heeft gekopieerd wel. Documenteer in elk geval wat je hebt gecontroleerd en wanneer je hebt bijgewerkt.
Liveblog
- 17.20
Eerste sites weer online
De eerste Nederlandse sites zijn terug: RTL en Tweakers draaien weer, meldt de NOS. DigiD, MijnOverheid, de Tweede Kamer, de Schiphol-app en een reeks ziekenhuizen zijn nog offline. Minister Van Weel zegt dat er nog geen signalen zijn van actief misbruik; de PHP Foundation zegt hetzelfde.
- 16.55
Wereldwijde patchrace, downloadservers overbelast
Beheerders over de hele wereld installeren de update tegelijk; de downloadservers van php.net zijn traag. Gebruik waar mogelijk de pakketten van je Linux-distributie of hostingpartij. De Britse NCSC roept op om nu bij te werken en wijst op apparaten en producten van derden waar PHP in verstopt zit, zoals netwerkapparatuur en beheerpanelen. Cloudflare en Patchstack meldden vanochtend pogingen tot misbruik; de PHP Foundation ziet daar zelf geen aanwijzingen voor.
- 16.30
Wereldwijd: de update is uit, de race is begonnen
PHP heeft de update wereldwijd uitgerold voor 8.2 tot en met 8.5. Linux-distributies kregen de fix vooraf; cPanel werkt aan pakketten voor alle PHP-versies. Oudere PHP (7.4 tot 8.1) krijgt alleen bronpatches, terwijl naar schatting bijna een op de vijf WordPress-sites daar nog op draait. Cloudflare blokkeert bekende aanvalspogingen op al zijn abonnementen. Geen enkele partij meldt tot nu toe geslaagde aanvallen sinds de release, maar de publieke exploit en de advisory geven aanvallers nu alles wat ze nodig hebben.
- 16.05
Officiële versienummers verwerkt
PHP bevestigt de veilige versies: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Het bericht is bijgewerkt, met een tabel die laat zien welke versie je nodig hebt. De technische details onderaan volgen nu de advisory van PHP.
- 16.00
Race tegen de klok
De update is er: PHP heeft de veilige versies gepubliceerd. Maar de exploit ligt ook op straat. Experts verwachten dat aanvallers het lek binnen een kwartier massaal gaan misbruiken. Werk nu bij.
- 15.50
Liveblog gestart
Vanaf nu houden we je hier bij. PHP publiceert om 16.00 uur de update; zodra die er is, zetten we de officiële versienummers in dit bericht.
- 15.35
Veelgestelde vragen toegevoegd
Onderaan staat nu een FAQ met de vragen die we vandaag het meest krijgen: wat je moet doen als je site bij een hostingpartij draait, en wat je doet met PHP 7 of 8.1.
- 15.15
Advies van het NCSC, Cloudflare blokkeert, Nederlandse sites offline
Het NCSC ziet nog geen actief misbruik, maar zegt dat het lek met één verzoek te misbruiken is. Cloudflare heeft firewallregels uitgerold. De Tweede Kamer, DigiD, MijnOverheid en Tweakers gingen uit voorzorg offline.
- 13.00
Bericht herschreven
Het begin is nu geschreven voor iedereen, de technische details en CVE-nummers staan onderaan.
- 11.12
Eerste versie gepubliceerd
PHP kondigt twee kritieke lekken aan. De update komt vandaag om 16.00 uur.
Valt je organisatie onder de Cyberbeveiligingswet?
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim 8.000 organisaties hebben daardoor een zorgplicht voor hun digitale beveiliging. Omgaan met lekken zoals dit hoort daarbij. Of jouw organisatie onder de wet valt, check je bij het NCSC.
Schrijf op wat je doet: welke systemen je hebt gecontroleerd, wanneer je hebt bijgewerkt en wat nog openstaat. Dan kun je later laten zien hoe je hebt gehandeld.
Hoe Vallem kan helpen
Met MDR + ITDR kijken we 24 uur per dag mee naar verdachte activiteit op je systemen. Zie je iets wat niet klopt, bel dan het Vallem CERT. Dat is altijd bereikbaar.
Kijk samen met ons welke systemen je moet bijwerken
In een gesprek van 30 minuten lopen we na welke systemen op PHP draaien en wat je als eerste doet.
Technische details
Voor wie het beheer zelf doet of de IT-partner wil briefen. PHP publiceerde om 16.00 uur de officiële details. Die staan hieronder, aangevuld met berichten van beveiligingsbedrijven.
php2shell: CVE-2026-109618 en CVE-2026-109619
- Ernst: beide CVSS v4.0 9,2. Remote code execution in PHP zelf, zonder authenticatie. CVE-2026-109618: een out-of-memory tijdens het verwerken van een verzoek onderbreekt PHP terwijl de request-data half is opgebouwd; de opruimfase behandelt die ongeldige data daarna als geldig. CVE-2026-109619: interne state van een verzoek blijft bestaan nadat het geheugen is vrijgegeven, en een volgend verzoek op dezelfde worker gebruikt die oude state. Bevestigd uitgebuit tegen Apache mod_php met standaardinstellingen; PHP-FPM is volgens PHP vermoedelijk ook kwetsbaar, FrankenPHP en LiteSpeed waarschijnlijk.
- Getroffen versies: alles vóór 8.5.12, 8.4.27, 8.3.36 en 8.2.35, dus ook 8.1 en ouder. Het raakt vrijwel zeker elke PHP-installatie die webverzoeken afhandelt: PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het hoogste risico loopt mod_php.
- Updates: 8.5.12, 8.4.27, 8.3.36 en 8.2.35, uit sinds 21 oktober, 16.00 uur. Voor PHP 7.4, 8.0 en 8.1 publiceerde PHP alleen bronpatches, geen kant-en-klare versies; Linux-distributies kunnen die inbouwen, maar reken daar niet op. Draai je 8.1 of ouder, dan is upgraden de oplossing. PHP 8.2 krijgt na 31 december 2026 geen beveiligingsupdates meer.
- Workarounds: geen volledige. PHP schrijft dat alleen bijwerken veilig is. Wie vandaag echt niet kan bijwerken, verkleint de blootstelling met
memory_limit=-1(viaphp_admin_value), een lagepost_max_size,session.upload_progress.enabled=0en op PHP 8.5fatal_error_backtraces=0, telkens gevolgd door een herstart van alle workers. Dat sluit de aanvalspaden niet af. Cloudflare heeft WAF-regels uitgerold voor alle abonnementen, ook gratis; dat helpt alleen voor verkeer dat via Cloudflare loopt en is geen garantie. Het NCSC noemt de tijdelijke maatregelen van PHP onvoldoende en waarschuwt dat misbruikpogingen een DoS kunnen veroorzaken. Ncsc.nl is offline; actuele adviezen staan op advisories.ncsc.nl. - PoC en blootstelling: er circuleert een publieke proof-of-concept op GitHub, volgens Tenable werkt geen van de circulerende versies betrouwbaar. Mallory telt via Shodan zo’n 884.000 internetgerichte hosts op PHP 8.1 of ouder, 59% van de hosts die een versie prijsgeven.
- Misbruik: Aikido (op basis van Cloudflare) en Patchstack melden actieve aanvallen sinds de ochtend van 21 oktober. Huntress en watchTowr zagen op 20 oktober nog geen misbruik; watchTowr heeft een van de twee lekken nagebootst. Tenable kreeg geen van de circulerende PoC’s werkend; op fora heet de code onbetrouwbaar en sommige GitHub-repo’s met een “PoC” zijn zelf malware.
- Tot je hebt bijgewerkt: internetgerichte PHP-systemen tijdelijk offline halen of achter VPN zetten. Verouderde PHP isoleren of firewallen.
- Detectie: alarm als php-fpm, php-cgi, apache2 of httpd een shell, interpreter, curl of wget start. Let op nieuwe bestanden in de webroot, onverwachte cronjobs en nieuwe accounts. Bewaar web- en PHP-logs als je een inbraak vermoedt.
- Na de update: controleer op webshells, gewijzigde PHP-bestanden, nieuwe beheerders en onverwachte uitgaande verbindingen, terug tot juni 2026.
- Bronnen: PHP, GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp, Aikido, CERT-EU, Patchstack, Huntress, watchTowr, Help Net Security.
En de systemen van Vallem zelf?
Vallem.com en de Vallem Academy draaien op het premium WordPress-netwerk van Automattic. Automattic liet ons vandaag weten dat hun infrastructuurteam de lekken samen met het PHP-team al vóór de publieke release heeft gedicht. De release van 16.00 uur bevestigt dat beeld: onze systemen draaiden de fix al vóór de publicatie.
Bijgewerkt op woensdag 21 oktober 2026 om 17.20 uur. PHP heeft de update gepubliceerd op php.net. We werken dit bericht bij zolang de situatie duurt.
Geschreven door
30 minuten met een specialist
Leg uw situatie voor en hoor wat daarbij past.
Nu een incident? Het Vallem CERT is 24/7 bereikbaar
Samenvatten met AI
Opent de dienst in een nieuw tabblad en stuurt de titel en de link van dit artikel mee.
