WAARSCHUWINGKritiek PHP-beveiligingslek · CVE-2026-109618 · CVE-2026-109619 · 21 okt 2026
<?doiusephp?>

Is WooCommerce kwetsbaar voor het PHP-beveiligingslek?

Ja.

WooCommerce is een WordPress-plug-in en draait dus op PHP. Elke WooCommerce-webshop op eigen hosting is kwetsbaar tot PHP is bijgewerkt. Op WordPress.com wordt PHP voor je onderhouden.

Zo vind je je PHP-versie: WooCommerce → Status, in het onderdeel Serveromgeving.

Controleer je website

Weet je niet zeker of je website op WooCommerce draait? Onze gratis check zoekt in een paar seconden naar PHP.

jouwwebsite.nlControleer →

Wat eigenaren van een WooCommerce-website moeten doen

Wie beheert je website?

Dan tonen we de stappen voor jouw situatie.

  1. 01

    Zoek uit wie je website beheert

    Meestal is dat een hostingpartij, een webbouwer of een webbureau. Zo kom je erachter:

    • zoek in je facturen en bankafschriften naar een hostingpartij of webbureau
    • zoek in je e-mail op ‘hosting’, ‘domein’ of de naam van wie je website heeft gebouwd

    KLAAR ALSje weet met wie je contact moet opnemen.

  2. 02

    Stuur ze vandaag nog het bericht hieronder

    Het bericht legt uit wat er moet gebeuren: PHP bijwerken naar een versie met de beveiligingsupdate. Vraag ze te laten weten wanneer het klaar is.

    KLAAR ALSze hebben laten weten dat ze ermee bezig zijn.

  3. 03

    Vraag om bevestiging dat het is opgelost

    Vraag ze te bevestigen dat je website nu draait op een PHP-versie met de beveiligingsupdate (minimaal 8.2.35, 8.3.36, 8.4.27 of 8.5.12, afhankelijk van de huidige versie). Vraag ook naar andere websites of systemen die ze voor je beheren.

    KLAAR ALSje die bevestiging op schrift hebt.

  4. 04

    Controleer of je website nog werkt

    Open je homepage en test je contactformulier, het inloggen en het afrekenen. Is er iets kapot na de overstap naar een nieuwere PHP-versie? Werk dan WooCommerce bij, inclusief de plug-ins en het thema, of vraag het je webbouwer.

    KLAAR ALSje belangrijke pagina's werken zoals voorheen.

  5. 05

    Als het vandaag niet lukt

    Vraag wie je website beheert om de tijdelijke beveiligingsinstellingen voor PHP toe te passen tot de update er is. Die staan hieronder, in het deel voor je webbouwer of hostingpartij. Lukt ook dat niet snel? Dan adviseert het NCSC te overwegen de website offline te halen. Je hostingpartij kan in de tussentijd een onderhoudspagina tonen.

  6. 06

    Laat je website controleren op een inbraak

    Vraag je hostingpartij of webbouwer om dit te controleren, zeker als het bijwerken langer dan een dag duurde. Signalen die je zelf kunt zien:

    • beheerdersaccounts die je niet kent
    • pagina's, links of bestanden die je niet zelf hebt toegevoegd
    • bezoekers die naar andere websites worden doorgestuurd
    • een waarschuwing in Google, zoals ‘Deze site is mogelijk gehackt’

    KLAAR ALSze niets verdachts hebben gevonden, of alles hebben opgeschoond.

Stuur dit naar je hostingpartij of webbouwer

Kopieer het naar een e-mail of supportticket.

Onderwerp: Dringend: kritiek beveiligingslek in PHP (CVE-2026-109618 / CVE-2026-109619)

Hallo,

Op 21 oktober 2026 is een kritiek beveiligingslek in PHP bekendgemaakt (CVE-2026-109618 en CVE-2026-109619). Daarmee kunnen aanvallers zonder in te loggen een webserver overnemen. Het Nationaal Cyber Security Centrum (NCSC) adviseert direct te handelen:
https://www.ncsc.nl/alerts/kwetsbaarheden-php-patches-beschikbaar-update-nu

Onze website draait op WooCommerce, en dus op PHP. Wil je het volgende doen?

1. Laat me weten welke PHP-versie onze website gebruikt, en welke versie andere systemen gebruiken die je voor ons beheert.
2. Werk bij naar een PHP-versie met de beveiligingsupdate (8.5.12, 8.4.27, 8.3.36, 8.2.35 of nieuwer). Is er een nieuwere PHP-versie nodig? Werk dan eerst WooCommerce bij, inclusief de plug-ins en het thema.
3. Lukt bijwerken niet meteen? Pas dan de tijdelijke maatregelen van het PHP-project toe (https://www.php.net/), of haal de website offline tot het is opgelost.
4. Controleer de server op sporen van een inbraak.

Laat je me weten wanneer dit is gebeurd?

Alvast bedankt!
Voor je webbouwer of hostingpartij: wat er moet gebeuren, stap voor stap+
  1. 1.

    Spoor elke PHP-installatie op die achter een website draait

    Controleer de PHP die de webserver gebruikt, niet alleen die op de commandline: php -v in een terminal kan een andere versie tonen. Neem elke manier mee waarop PHP achter een website draait (PHP-FPM achter Nginx of Apache, de ingebouwde mod_php van Apache, LiteSpeed, FrankenPHP). Vergeet ook containers, testomgevingen en andere servers niet.

  2. 2.

    Werk bij naar een release met de beveiligingsupdate

    Gedicht in 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (één per ondersteunde versie). Gebruik de pakketten van je besturingssysteem, een nieuwer basisimage voor je containers of je hostingpaneel. PHP 8.1 en ouder krijgen geen updates meer: stap over op een ondersteunde versie.

  3. 3.

    Herstart PHP

    Herstart PHP-FPM, Apache of LiteSpeed na het bijwerken. Processen die al draaien, blijven de oude, kwetsbare code gebruiken tot ze opnieuw starten.

  4. 4.

    Controleer of de update echt actief is

    Controleer welke versie de website zelf gebruikt, bijvoorbeeld met een tijdelijke phpinfo()-pagina die je daarna verwijdert. Sommige Linux-distributies dichten lekken zonder het versienummer te veranderen. Controleer dan of de changelog van het pakket CVE-2026-109618 en CVE-2026-109619 noemt.

  5. 5.

    Kun je nog niet bijwerken? Pas de tijdelijke instellingen toe

    Op php.net staan tijdelijke instellingen die het risico verkleinen tot je kunt bijwerken. Onder andere: zet memory_limit=-1 in de serverconfiguratie, zodat scripts dit niet kunnen wijzigen (zo voorkom je het geheugentekort waar de aanval gebruik van maakt; houd het geheugengebruik wel in de gaten), verlaag de limieten voor de grootte van verzoeken en uploads, en zet session.upload_progress.enabled=0. Herstart PHP daarna. Deze instellingen verkleinen het risico, maar vervangen het bijwerken niet.

  6. 6.

    Controleer op sporen van een inbraak

    Zoek naar PHP-bestanden die sinds 21 oktober 2026 zijn toegevoegd of gewijzigd, beheerdersaccounts die niemand kent, nieuwe geplande taken (cronjobs), onverwachte processen of uitgaande verbindingen, en geheugenfouten (out of memory) in de PHP-logs. Ziet iets er verdacht uit? Zet dan een schone back-up terug, wijzig alle wachtwoorden en sleutels (ook die van databases) en informeer de eigenaar van de website.

  7. 7.

    Daarna: verberg de PHP-versie

    Zet expose_php = Off, zodat antwoorden geen X-Powered-By: PHP/…-header meer bevatten die aanvallers vertelt welke versie je gebruikt.

Ernst: 9,2 op 10 (CVSS 4.0). CVE-2026-109618 (code op afstand uitvoeren via geheugencorruptie bij geheugentekort) · CVE-2026-109619 (code op afstand uitvoeren via achtergebleven globale status)

Goed om te weten

  • Ga in je dashboard naar WooCommerce → Status. Het onderdeel Serveromgeving van het systeemstatusrapport toont je PHP-versie. Bron ↗
  • WooCommerce vereist PHP 8.3 of nieuwer. Bron ↗
  • Webshops op WordPress.com, ook met het Commerce-abonnement, hoeven niets te doen: WordPress.com werkt PHP zelf bij. Bron ↗

Vragen en antwoorden

Lost het bijwerken van WooCommerce het PHP-beveiligingslek op?

De beveiligingsupdate zit in PHP zelf, dat onder je websitesoftware draait. De software en de uitbreidingen bijwerken is verstandig, maar lost dit lek niet op: ook PHP moet worden bijgewerkt.

Lopen de gegevens van mijn klanten gevaar?

Door het lek kunnen aanvallers de server overnemen waarop je webshop draait. Daardoor kunnen bestellingen en klantgegevens uitlekken. Daarom moet PHP snel worden bijgewerkt, en moet de server daarna worden gecontroleerd op sporen van een inbraak.

Wie werkt PHP bij voor mijn webshop?

Je hostingpartij, of de webbouwer of het webbureau dat je webshop beheert. Stuur ze het bericht op deze pagina.

Meer: Zo controleer je of je website PHP gebruikt · Het PHP-beveiligingslek van oktober 2026 uitgelegd

Andere platforms: WordPress · Joomla · Drupal · Magento · PrestaShop · TYPO3 · Shopify · Wix · Squarespace

BRONNEN