WAARSCHUWINGKritiek PHP-beveiligingslek · CVE-2026-109618 · CVE-2026-109619 · 21 okt 2026
<?doiusephp?>

Is TYPO3 kwetsbaar voor het PHP-beveiligingslek?

Ja.

TYPO3 draait op PHP. Elke TYPO3-website is dus kwetsbaar tot de PHP-versie is bijgewerkt.

Zo vind je je PHP-versie: het overzicht ‘Environment’ in de backend (voor systeembeheerders).

Controleer je website

Weet je niet zeker of je website op TYPO3 draait? Onze gratis check zoekt in een paar seconden naar PHP.

jouwwebsite.nlControleer →

Wat eigenaren van een TYPO3-website moeten doen

Wie beheert je website?

Dan tonen we de stappen voor jouw situatie.

  1. 01

    Zoek uit wie je website beheert

    Meestal is dat een hostingpartij, een webbouwer of een webbureau. Zo kom je erachter:

    • zoek in je facturen en bankafschriften naar een hostingpartij of webbureau
    • zoek in je e-mail op ‘hosting’, ‘domein’ of de naam van wie je website heeft gebouwd

    KLAAR ALSje weet met wie je contact moet opnemen.

  2. 02

    Stuur ze vandaag nog het bericht hieronder

    Het bericht legt uit wat er moet gebeuren: PHP bijwerken naar een versie met de beveiligingsupdate. Vraag ze te laten weten wanneer het klaar is.

    KLAAR ALSze hebben laten weten dat ze ermee bezig zijn.

  3. 03

    Vraag om bevestiging dat het is opgelost

    Vraag ze te bevestigen dat je website nu draait op een PHP-versie met de beveiligingsupdate (minimaal 8.2.35, 8.3.36, 8.4.27 of 8.5.12, afhankelijk van de huidige versie). Vraag ook naar andere websites of systemen die ze voor je beheren.

    KLAAR ALSje die bevestiging op schrift hebt.

  4. 04

    Controleer of je website nog werkt

    Open je homepage en test je contactformulier, het inloggen en het afrekenen. Is er iets kapot na de overstap naar een nieuwere PHP-versie? Werk dan TYPO3 bij, inclusief de extensies, of vraag het je webbouwer.

    KLAAR ALSje belangrijke pagina's werken zoals voorheen.

  5. 05

    Als het vandaag niet lukt

    Vraag wie je website beheert om de tijdelijke beveiligingsinstellingen voor PHP toe te passen tot de update er is. Die staan hieronder, in het deel voor je webbouwer of hostingpartij. Lukt ook dat niet snel? Dan adviseert het NCSC te overwegen de website offline te halen. Je hostingpartij kan in de tussentijd een onderhoudspagina tonen.

  6. 06

    Laat je website controleren op een inbraak

    Vraag je hostingpartij of webbouwer om dit te controleren, zeker als het bijwerken langer dan een dag duurde. Signalen die je zelf kunt zien:

    • beheerdersaccounts die je niet kent
    • pagina's, links of bestanden die je niet zelf hebt toegevoegd
    • bezoekers die naar andere websites worden doorgestuurd
    • een waarschuwing in Google, zoals ‘Deze site is mogelijk gehackt’

    KLAAR ALSze niets verdachts hebben gevonden, of alles hebben opgeschoond.

Stuur dit naar je hostingpartij of webbouwer

Kopieer het naar een e-mail of supportticket.

Onderwerp: Dringend: kritiek beveiligingslek in PHP (CVE-2026-109618 / CVE-2026-109619)

Hallo,

Op 21 oktober 2026 is een kritiek beveiligingslek in PHP bekendgemaakt (CVE-2026-109618 en CVE-2026-109619). Daarmee kunnen aanvallers zonder in te loggen een webserver overnemen. Het Nationaal Cyber Security Centrum (NCSC) adviseert direct te handelen:
https://www.ncsc.nl/alerts/kwetsbaarheden-php-patches-beschikbaar-update-nu

Onze website draait op TYPO3, en dus op PHP. Wil je het volgende doen?

1. Laat me weten welke PHP-versie onze website gebruikt, en welke versie andere systemen gebruiken die je voor ons beheert.
2. Werk bij naar een PHP-versie met de beveiligingsupdate (8.5.12, 8.4.27, 8.3.36, 8.2.35 of nieuwer). Is er een nieuwere PHP-versie nodig? Werk dan eerst TYPO3 bij, inclusief de extensies.
3. Lukt bijwerken niet meteen? Pas dan de tijdelijke maatregelen van het PHP-project toe (https://www.php.net/), of haal de website offline tot het is opgelost.
4. Controleer de server op sporen van een inbraak.

Laat je me weten wanneer dit is gebeurd?

Alvast bedankt!
Voor je webbouwer of hostingpartij: wat er moet gebeuren, stap voor stap+
  1. 1.

    Spoor elke PHP-installatie op die achter een website draait

    Controleer de PHP die de webserver gebruikt, niet alleen die op de commandline: php -v in een terminal kan een andere versie tonen. Neem elke manier mee waarop PHP achter een website draait (PHP-FPM achter Nginx of Apache, de ingebouwde mod_php van Apache, LiteSpeed, FrankenPHP). Vergeet ook containers, testomgevingen en andere servers niet.

  2. 2.

    Werk bij naar een release met de beveiligingsupdate

    Gedicht in 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (één per ondersteunde versie). Gebruik de pakketten van je besturingssysteem, een nieuwer basisimage voor je containers of je hostingpaneel. PHP 8.1 en ouder krijgen geen updates meer: stap over op een ondersteunde versie.

  3. 3.

    Herstart PHP

    Herstart PHP-FPM, Apache of LiteSpeed na het bijwerken. Processen die al draaien, blijven de oude, kwetsbare code gebruiken tot ze opnieuw starten.

  4. 4.

    Controleer of de update echt actief is

    Controleer welke versie de website zelf gebruikt, bijvoorbeeld met een tijdelijke phpinfo()-pagina die je daarna verwijdert. Sommige Linux-distributies dichten lekken zonder het versienummer te veranderen. Controleer dan of de changelog van het pakket CVE-2026-109618 en CVE-2026-109619 noemt.

  5. 5.

    Kun je nog niet bijwerken? Pas de tijdelijke instellingen toe

    Op php.net staan tijdelijke instellingen die het risico verkleinen tot je kunt bijwerken. Onder andere: zet memory_limit=-1 in de serverconfiguratie, zodat scripts dit niet kunnen wijzigen (zo voorkom je het geheugentekort waar de aanval gebruik van maakt; houd het geheugengebruik wel in de gaten), verlaag de limieten voor de grootte van verzoeken en uploads, en zet session.upload_progress.enabled=0. Herstart PHP daarna. Deze instellingen verkleinen het risico, maar vervangen het bijwerken niet.

  6. 6.

    Controleer op sporen van een inbraak

    Zoek naar PHP-bestanden die sinds 21 oktober 2026 zijn toegevoegd of gewijzigd, beheerdersaccounts die niemand kent, nieuwe geplande taken (cronjobs), onverwachte processen of uitgaande verbindingen, en geheugenfouten (out of memory) in de PHP-logs. Ziet iets er verdacht uit? Zet dan een schone back-up terug, wijzig alle wachtwoorden en sleutels (ook die van databases) en informeer de eigenaar van de website.

  7. 7.

    Daarna: verberg de PHP-versie

    Zet expose_php = Off, zodat antwoorden geen X-Powered-By: PHP/…-header meer bevatten die aanvallers vertelt welke versie je gebruikt.

Ernst: 9,2 op 10 (CVSS 4.0). CVE-2026-109618 (code op afstand uitvoeren via geheugencorruptie bij geheugentekort) · CVE-2026-109619 (code op afstand uitvoeren via achtergebleven globale status)

Goed om te weten

  • Systeembeheerders zien de PHP-versie in het overzicht ‘Environment’ in de backend (onder ‘System’ in TYPO3 14). Bron ↗
  • TYPO3 14 draait op PHP 8.2 tot en met 8.5. Controleer met je webbouwer welke PHP-versies jouw TYPO3-versie ondersteunt, voordat je overstapt op een nieuwere PHP-versie. Bron ↗

Vragen en antwoorden

Lost het bijwerken van TYPO3 het PHP-beveiligingslek op?

De beveiligingsupdate zit in PHP zelf, dat onder je websitesoftware draait. De software en de uitbreidingen bijwerken is verstandig, maar lost dit lek niet op: ook PHP moet worden bijgewerkt.

Hoe zie ik welke PHP-versie mijn TYPO3-website gebruikt?

Systeembeheerders kunnen het overzicht ‘Environment’ in de backend openen. Anders vraag je het aan je webbouwer of webbureau.

Wie werkt PHP bij voor mijn TYPO3-website?

Je hostingpartij of het webbureau dat je website onderhoudt. TYPO3-websites worden meestal door een webbureau beheerd.

Meer: Zo controleer je of je website PHP gebruikt · Het PHP-beveiligingslek van oktober 2026 uitgelegd

Andere platforms: WordPress · WooCommerce · Joomla · Drupal · Magento · PrestaShop · Shopify · Wix · Squarespace

BRONNEN