WAARSCHUWINGKritiek PHP-beveiligingslek · CVE-2026-109618 · CVE-2026-109619 · 21 okt 2026
<?doiusephp?>

Is WordPress kwetsbaar voor het PHP-beveiligingslek?

Ja.

WordPress draait op PHP. Elke WordPress-website op eigen hosting is dus kwetsbaar tot de PHP-versie is bijgewerkt. Op WordPress.com onderhoudt Automattic PHP voor je.

Zo vind je je PHP-versie: Hulpmiddelen → Sitediagnose → Info → Server.

Controleer je website

Weet je niet zeker of je website op WordPress draait? Onze gratis check zoekt in een paar seconden naar PHP.

jouwwebsite.nlControleer →

Wat eigenaren van een WordPress-website moeten doen

Wie beheert je website?

Dan tonen we de stappen voor jouw situatie.

  1. 01

    Zoek uit wie je website beheert

    Meestal is dat een hostingpartij, een webbouwer of een webbureau. Zo kom je erachter:

    • zoek in je facturen en bankafschriften naar een hostingpartij of webbureau
    • zoek in je e-mail op ‘hosting’, ‘domein’ of de naam van wie je website heeft gebouwd

    KLAAR ALSje weet met wie je contact moet opnemen.

  2. 02

    Stuur ze vandaag nog het bericht hieronder

    Het bericht legt uit wat er moet gebeuren: PHP bijwerken naar een versie met de beveiligingsupdate. Vraag ze te laten weten wanneer het klaar is.

    KLAAR ALSze hebben laten weten dat ze ermee bezig zijn.

  3. 03

    Vraag om bevestiging dat het is opgelost

    Vraag ze te bevestigen dat je website nu draait op een PHP-versie met de beveiligingsupdate (minimaal 8.2.35, 8.3.36, 8.4.27 of 8.5.12, afhankelijk van de huidige versie). Vraag ook naar andere websites of systemen die ze voor je beheren.

    KLAAR ALSje die bevestiging op schrift hebt.

  4. 04

    Controleer of je website nog werkt

    Open je homepage en test je contactformulier, het inloggen en het afrekenen. Is er iets kapot na de overstap naar een nieuwere PHP-versie? Werk dan WordPress bij, inclusief de plug-ins en het thema, of vraag het je webbouwer.

    KLAAR ALSje belangrijke pagina's werken zoals voorheen.

  5. 05

    Als het vandaag niet lukt

    Vraag wie je website beheert om de tijdelijke beveiligingsinstellingen voor PHP toe te passen tot de update er is. Die staan hieronder, in het deel voor je webbouwer of hostingpartij. Lukt ook dat niet snel? Dan adviseert het NCSC te overwegen de website offline te halen. Je hostingpartij kan in de tussentijd een onderhoudspagina tonen.

  6. 06

    Laat je website controleren op een inbraak

    Vraag je hostingpartij of webbouwer om dit te controleren, zeker als het bijwerken langer dan een dag duurde. Signalen die je zelf kunt zien:

    • beheerdersaccounts die je niet kent
    • pagina's, links of bestanden die je niet zelf hebt toegevoegd
    • bezoekers die naar andere websites worden doorgestuurd
    • een waarschuwing in Google, zoals ‘Deze site is mogelijk gehackt’

    KLAAR ALSze niets verdachts hebben gevonden, of alles hebben opgeschoond.

Stuur dit naar je hostingpartij of webbouwer

Kopieer het naar een e-mail of supportticket.

Onderwerp: Dringend: kritiek beveiligingslek in PHP (CVE-2026-109618 / CVE-2026-109619)

Hallo,

Op 21 oktober 2026 is een kritiek beveiligingslek in PHP bekendgemaakt (CVE-2026-109618 en CVE-2026-109619). Daarmee kunnen aanvallers zonder in te loggen een webserver overnemen. Het Nationaal Cyber Security Centrum (NCSC) adviseert direct te handelen:
https://www.ncsc.nl/alerts/kwetsbaarheden-php-patches-beschikbaar-update-nu

Onze website draait op WordPress, en dus op PHP. Wil je het volgende doen?

1. Laat me weten welke PHP-versie onze website gebruikt, en welke versie andere systemen gebruiken die je voor ons beheert.
2. Werk bij naar een PHP-versie met de beveiligingsupdate (8.5.12, 8.4.27, 8.3.36, 8.2.35 of nieuwer). Is er een nieuwere PHP-versie nodig? Werk dan eerst WordPress bij, inclusief de plug-ins en het thema.
3. Lukt bijwerken niet meteen? Pas dan de tijdelijke maatregelen van het PHP-project toe (https://www.php.net/), of haal de website offline tot het is opgelost.
4. Controleer de server op sporen van een inbraak.

Laat je me weten wanneer dit is gebeurd?

Alvast bedankt!
Voor je webbouwer of hostingpartij: wat er moet gebeuren, stap voor stap+
  1. 1.

    Spoor elke PHP-installatie op die achter een website draait

    Controleer de PHP die de webserver gebruikt, niet alleen die op de commandline: php -v in een terminal kan een andere versie tonen. Neem elke manier mee waarop PHP achter een website draait (PHP-FPM achter Nginx of Apache, de ingebouwde mod_php van Apache, LiteSpeed, FrankenPHP). Vergeet ook containers, testomgevingen en andere servers niet.

  2. 2.

    Werk bij naar een release met de beveiligingsupdate

    Gedicht in 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (één per ondersteunde versie). Gebruik de pakketten van je besturingssysteem, een nieuwer basisimage voor je containers of je hostingpaneel. PHP 8.1 en ouder krijgen geen updates meer: stap over op een ondersteunde versie.

  3. 3.

    Herstart PHP

    Herstart PHP-FPM, Apache of LiteSpeed na het bijwerken. Processen die al draaien, blijven de oude, kwetsbare code gebruiken tot ze opnieuw starten.

  4. 4.

    Controleer of de update echt actief is

    Controleer welke versie de website zelf gebruikt, bijvoorbeeld met een tijdelijke phpinfo()-pagina die je daarna verwijdert. Sommige Linux-distributies dichten lekken zonder het versienummer te veranderen. Controleer dan of de changelog van het pakket CVE-2026-109618 en CVE-2026-109619 noemt.

  5. 5.

    Kun je nog niet bijwerken? Pas de tijdelijke instellingen toe

    Op php.net staan tijdelijke instellingen die het risico verkleinen tot je kunt bijwerken. Onder andere: zet memory_limit=-1 in de serverconfiguratie, zodat scripts dit niet kunnen wijzigen (zo voorkom je het geheugentekort waar de aanval gebruik van maakt; houd het geheugengebruik wel in de gaten), verlaag de limieten voor de grootte van verzoeken en uploads, en zet session.upload_progress.enabled=0. Herstart PHP daarna. Deze instellingen verkleinen het risico, maar vervangen het bijwerken niet.

  6. 6.

    Controleer op sporen van een inbraak

    Zoek naar PHP-bestanden die sinds 21 oktober 2026 zijn toegevoegd of gewijzigd, beheerdersaccounts die niemand kent, nieuwe geplande taken (cronjobs), onverwachte processen of uitgaande verbindingen, en geheugenfouten (out of memory) in de PHP-logs. Ziet iets er verdacht uit? Zet dan een schone back-up terug, wijzig alle wachtwoorden en sleutels (ook die van databases) en informeer de eigenaar van de website.

  7. 7.

    Daarna: verberg de PHP-versie

    Zet expose_php = Off, zodat antwoorden geen X-Powered-By: PHP/…-header meer bevatten die aanvallers vertelt welke versie je gebruikt.

Ernst: 9,2 op 10 (CVSS 4.0). CVE-2026-109618 (code op afstand uitvoeren via geheugencorruptie bij geheugentekort) · CVE-2026-109619 (code op afstand uitvoeren via achtergebleven globale status)

Goed om te weten

  • Ga in je WordPress-dashboard naar Hulpmiddelen → Sitediagnose → Info en open het onderdeel Server. Daar zie je je PHP-versie. Sitediagnose waarschuwt ook als PHP verouderd is. Bron ↗
  • WordPress.com liet op 21 oktober 2026 weten dat klanten niets hoeven te doen: WordPress.com werkt PHP op zijn eigen servers bij. Bron ↗
  • WordPress raadt PHP 8.3 of nieuwer aan. Werk WordPress, je plug-ins en je thema bij voordat je overstapt op een nieuwere PHP-versie. Oude versies kunnen stoppen met werken. Bron ↗

Vragen en antwoorden

Lost het bijwerken van WordPress het PHP-beveiligingslek op?

De beveiligingsupdate zit in PHP zelf, dat onder je websitesoftware draait. De software en de uitbreidingen bijwerken is verstandig, maar lost dit lek niet op: ook PHP moet worden bijgewerkt.

Hoe zie ik welke PHP-versie mijn WordPress-website gebruikt?

Ga in je dashboard naar Hulpmiddelen → Sitediagnose → Info en open het onderdeel Server. Op WordPress.com staat de versie bij de hostinginstellingen van je website.

Mijn website staat op WordPress.com. Moet ik iets doen?

Nee. WordPress.com onderhoudt PHP op zijn eigen servers en werkt het bij. Volgens WordPress.com hoeven klanten voor dit lek niets te doen.

Wie werkt PHP bij voor mijn WordPress-website?

Meestal je hostingpartij, via het controlepaneel, of de webbouwer of het webbureau dat je website beheert. Bij veel hostingpartijen kun je de PHP-versie ook zelf wijzigen.

Meer: Zo controleer je of je website PHP gebruikt · Het PHP-beveiligingslek van oktober 2026 uitgelegd

Andere platforms: WooCommerce · Joomla · Drupal · Magento · PrestaShop · TYPO3 · Shopify · Wix · Squarespace

BRONNEN