Het PHP-lek van deze week gaat over PHP zelf, niet over WordPress. Toch merk je het als WordPress-eigenaar het meest, want vrijwel elke WordPress-site draait op PHP. In dit artikel leg ik uit wat er speelt, wat ik op de servers die ik beheer heb ingericht en wat jij zelf kunt doen.
Laatst bijgewerkt: 21 oktober 2026, 14:00.
Waarom dit ook jouw WordPress-site raakt
WordPress is een programma dat in PHP is geschreven. Als er een kritiek gat in PHP zit, helpt het niet dat je thema netjes is of dat je plugins up-to-date zijn: het probleem zit eronder. Bij dit lek (PHP2Shell, CVE-2026-109618 en CVE-2026-109619) kan iemand van buitenaf code laten uitvoeren op de server waar de site op staat. Het gaat om PHP 8.2 tot en met 8.5, waarvoor een update werd aangekondigd, en om PHP 8.1 en ouder, waarvoor geen officiële oplossing komt.
Wat ik heb ingericht
Op de servers waar ik websites van klanten beheer, heb ik drie dingen gedaan. Dit is wat ik kan aantonen:
Een wachter die elke drie minuten controleert of de nieuwe PHP-pakketten beschikbaar zijn. Zodra dat zo is, worden ze geïnstalleerd, worden de PHP-diensten herstart en worden de sites gecontroleerd. Tot die update er is, kan ik niet zeggen dat de servers zijn bijgewerkt. Dat zeg ik pas als het in het logboek staat.
Een tijdelijke instelling die een van de aanvalsroutes die in de berichten genoemd wordt, uitzet. Dat verkleint het risico, maar lost het niet op. De echte oplossing is de update.
Een tweede wachter die 48 uur lang elke tien minuten kijkt of er iets vreemds gebeurt, zoals nieuwe PHP-bestanden op plekken waar ze niet horen.
Wat ik hier niet beweer: dat daarmee alles veilig is. Een wachter ziet alleen wat hij zoekt.
Wat jij als WordPress-eigenaar kunt doen
Vraag je hoster wanneer PHP wordt bijgewerkt. Bij veel hosters gebeurt dat automatisch, maar vraag het na en vraag welke PHP-versie je site nu draait. Dat staat meestal ook in WordPress onder Extra, Sitegezondheid, tabblad Info.
Zit je op PHP 8.1 of ouder? Dan komt er geen officiële oplossing. Stap over naar een nieuwere versie. Test dat bij voorkeur eerst, want een oude plugin kan er niet tegen.
Werk WordPress, thema en plugins bij en haal weg wat je niet gebruikt. Elke plugin die je niet gebruikt, is onderhoud en risico zonder nut.
Zorg voor een back-up buiten de server. Staat de back-up op dezelfde server als de site, dan heb je er bij een inbraak niets aan.
Ruim vergeten sites op. Een oude testversie van je site, een vergeten staging-omgeving: ze draaien op dezelfde PHP en worden zelden bijgewerkt.
Kijk naar tekenen van misbruik. Gebruikers die je niet kent, bestanden in de uploadmap die op .php eindigen, of een site die opeens traag is of vreemde mail verstuurt.
Hoe erg is het eigenlijk?
Cloudflare meldt de eerste aanvallen. Andere bronnen hebben nog geen bevestigd misbruik gemeld. Dat kan snel veranderen, want zodra een update uitkomt, kan iedereen zien wat er is gerepareerd. Ik zou het dus niet laten liggen, maar er ook geen paniek van maken: updaten en nakijken is genoeg voor de meeste sites.
Wil je dat ik meekijk?
Heb je geen tijd of zin om dit zelf uit te zoeken? Ik check en fix het PHP-lek voor €37,50 excl. btw per website, eenmalig. Ik controleer PHP-versie en plugins, doe een snelle controle op misbruik, los op wat binnen een uur kan en geef je een kort rapport. Gratis erbij: een SEO-audit met een verbeterplan van de 10 belangrijkste punten (het uitvoeren daarvan zit er niet bij). Herstel van een gehackte site, verhuizen en maatwerk zitten er niet bij: daarvoor krijg je vooraf een vaste prijs. De actie loopt t/m dinsdag 4 november 2026.
