Nieuws · Websitebeveiliging
PHP-beveiligingsupdate 21 oktober 2026: welke versies zijn gepatcht?
PHP heeft de beloofde beveiligingsupdates uitgebracht. Welke versie heb je nodig, wat als je een oudere versie gebruikt en hoe controleer je je WordPress-website?
Op 21 oktober 2026 heeft PHP de beveiligingsupdate uitgebracht voor twee kritieke lekken. De beveiligde versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens het officiële beveiligingsadvies van PHP moet iedereen direct updaten. Websitebeheerders en hostingpartijen moeten dus nu controleren of hun systemen zijn bijgewerkt.
Wil je weten waarom Nederlandse websites uit voorzorg offline gingen? Lees dan ons eerdere artikel over het PHP-lek en de getroffen Nederlandse websites.
Stand van zaken: 21 oktober 2026, 16:07 uur, op basis van php.net.
PHP brengt beveiligingsupdates uit voor twee kritieke lekken
De update lost twee kwetsbaarheden op. Bij CVE-2026-109618 kan een geheugentekort PHP onderbreken terwijl interne gegevens nog maar half zijn opgebouwd. Bij het opruimen worden die ongeldige gegevens daarna als geldig behandeld. Bij CVE-2026-109619 blijft interne status achter nadat het bijbehorende geheugen al is vrijgegeven. Een volgend verzoek kan die oude status dan gebruiken.
Volgens PHP kunnen beide lekken leiden tot remote code execution zonder inloggen. Een aanvaller kan dan op afstand eigen code uitvoeren op de server. Daarom is het risico zo ernstig. PHP noemt alle installaties die webverzoeken afhandelen, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het grootste risico ziet PHP bij mod_php. Een mogelijke aanval is overigens nog geen bevestigd misbruik.
Welke PHP-versies zijn gepatcht?
| PHP-reeks | Beveiligde versie |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Alle vier versies verhelpen CVE-2026-109618 en CVE-2026-109619. De releases staan op 21 oktober in het nieuwsarchief van PHP. In de officiële changelog staan de fixes bij alle vier versies, met als datum 22 oktober.
Welke PHP-versie moet je installeren? De beveiligde versie van de reeks die je nu gebruikt. Draai je bijvoorbeeld PHP 8.3, dan heb je 8.3.36 nodig. Gebruikt je hostingpartij pakketten van een Linux-distributie, dan kan ook een bevestigde gepatchte build van die leverancier volstaan.
Wat als je een oudere PHP-versie gebruikt?
PHP 8.1 en ouder krijgen geen updates meer van het PHP-project zelf. Toch is niet elke oudere installatie automatisch onbeschermd. Sommige distributies en leveranciers met langdurige ondersteuning bieden een backport: de fix wordt dan in een oudere versie ingebouwd. Vanwege de ernst heeft PHP bovendien minimale broncode-backports beschikbaar gesteld voor PHP 7.4, 8.0 en 8.1.
Voor de meeste ondernemers is de vraag dus simpel: weet je hostingpartij welke versie je gebruikt en of die is gepatcht? Vraag het daarom na. Bovendien is een upgrade naar een ondersteunde versie op termijn de veiligste keuze.
Wat betekent de PHP-beveiligingsupdate voor WordPress?
WordPress is in PHP geschreven. Je website draait daarom op de PHP-versie die je hostingpartij op de server aanbiedt. Bij gedeelde hosting beheert de hostingpartij die omgeving. Je installeert de update dus meestal niet zelf in WordPress.
Daarnaast is het verstandig je website na een update te testen. Plugins en thema's moeten namelijk blijven werken. Je PHP-versie zie je in WordPress via Tools → Sitediagnose → Info → Server. Daar staat de regel 'PHP versie'.
Zo controleer je of jouw website is bijgewerkt
- Controleer via Sitediagnose welke PHP-versie je website gebruikt.
- Vergelijk die met de beveiligde versies in de tabel hierboven.
- Vraag je hostingpartij welke update is toegepast.
- Vraag bij een oudere versie of er een backport van de leverancier is.
- Test of je website bereikbaar is.
- Test je contactformulieren en checkout.
- Controleer of belangrijke functies na de update werken.
Pas niet zelf serverinstellingen aan als je niet precies weet wat ze doen. Laat dat daarom over aan je hostingpartij of developer. Draai je Google Ads? Lees dan ook wat je met Google Ads doet als je website offline is.
Is een firewall voldoende tegen het PHP-lek?
Nee. Een firewall kan extra bescherming bieden, maar vervangt de beveiligingsupdate niet. PHP zegt dat zelf ook: tijdelijke maatregelen verkleinen alleen bepaalde aanvalsroutes, maar maken een installatie niet veilig. Alleen updaten is volgens PHP een volledige oplossing.
Wat betekent deze update voor Nuzichtbaar?
Onze hostingomgeving beschikt over aanvullende beveiligingsmaatregelen, waaronder een webapplicatiefirewall en proactieve PHP-bescherming. Die helpen risico's te beperken, maar vervangen de beveiligingsupdate niet. De update moet ook in onze hostingomgeving worden doorgevoerd, net als bij iedere andere website. Een betrouwbare website is voor ons de basis van goede online marketing. Daarom letten we op onderhoud, hosting en bereikbaarheid.
Veelgestelde vragen over de PHP-beveiligingsupdate
Welke PHP-versies hebben de beveiligingsupdate gekregen?
PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, uitgebracht op 21 oktober 2026.
Welke twee kwetsbaarheden zijn opgelost?
CVE-2026-109618 en CVE-2026-109619. Volgens PHP kunnen beide leiden tot remote code execution zonder inloggen.
Is PHP 8.3.35 getroffen?
Ja, die versie heeft de fix niet. De beveiligde versie in de 8.3-reeks is 8.3.36, tenzij je leverancier een eigen gepatchte build levert.
Hoe controleer ik mijn PHP-versie?
In WordPress via Tools → Sitediagnose → Info → Server. Of vraag het na bij je hostingpartij.
Moet ik mijn WordPress-website zelf updaten?
Meestal niet. PHP draait op de server, dus de update ligt bij je hostingpartij. Test je website wel na de update, want plugins kunnen anders reageren.
Is een firewall voldoende?
Nee. Een firewall is een extra laag. Volgens PHP is alleen updaten een volledige oplossing.
Wat als mijn hostingpartij nog geen update heeft uitgevoerd?
Neem contact op en vraag wanneer de update of een gepatchte build wordt doorgevoerd. Maak bij twijfel samen een risicoafweging.
Wil je weten hoe jouw website ervoor staat?
In een gratis strategiegesprek kijken we naar je website, je campagnes en je metingen. Daarna weet je waar de risico's en de kansen zitten.
Lees ook