PHP-hack PHP2Shell: wat betekent dit voor uw website?
PHP2Shell veroorzaakt onrust bij website-eigenaars. Wat is er gebeurd, welke websites lopen risico en waarom worden onze PHP-vrije maatwerkwebsites niet geraakt?
De berichten over een grote PHP-hack zorgen vandaag voor onrust bij ondernemers. Dat is begrijpelijk: een website bevat vaak contactaanvragen, klantgegevens en koppelingen met andere diensten. Maar wat is er precies aan de hand, welke websites lopen risico en wat moet u nu doen?
Op 21 oktober 2026 publiceerde het PHP-team noodupdates voor twee kritieke kwetsbaarheden, bekend als PHP2Shell. Het gaat niet om de vaststelling dat elke PHP-website gehackt is, maar om beveiligingslekken die aanvallers onder bepaalde omstandigheden kunnen misbruiken. 1
Voor klanten met een door Zentio op maat gebouwde, PHP-vrije website: deze specifieke PHP-lekken zijn niet van toepassing op uw website. Wij schrijven die websites op maat zonder PHP. Dat is iets anders dan zeggen dat een website nooit beveiligingsrisico's heeft. Hieronder leggen we het kort en helder uit.
Wat is PHP2Shell precies?
PHP is software waarmee veel websites op de server worden uitgevoerd. Onder meer WordPress en Magento gebruiken PHP. PHP2Shell zit in die onderliggende software, niet simpelweg in een tekst, formulier of losse plug-in van uw website.
Het gaat om CVE-2026-109618 en CVE-2026-109619. Beide krijgen in de officiële meldingen een kritieke ernstscore van 9,2 op 10. De fouten hebben te maken met hoe PHP geheugen verwerkt wanneer een verzoek fout loopt. In bepaalde omstandigheden kan een aanvaller daardoor eigen code op de server laten uitvoeren, zonder eerst in te loggen. 2 3
U hoeft de technische details niet te kennen om de juiste beslissing te nemen: laat controleren of uw website PHP gebruikt en of de beveiligingsupdate is toegepast.
Welke websites lopen risico?
Het PHP-team waarschuwt voor PHP-installaties die webverzoeken verwerken. Hoe groot het risico is en hoe een aanval kan slagen, hangt af van de serverconfiguratie. Het team noemt Apache met mod_php als de omgeving met het hoogste risico en een aangetoonde aanval. Andere PHP-omgevingen mogen deze waarschuwing niet negeren. 1
Heeft u een WordPress-website, een Magento-webshop of een andere toepassing die PHP gebruikt? Vraag uw hostingpartij of websitebeheerder dan om bevestiging van de toegepaste beveiligingsupdate. Alleen WordPress, een thema of een plug-in bijwerken verhelpt deze PHP-lekken niet. Ook de PHP-software van de hosting moet de correctie bevatten. 4
Een website met PHP is niet automatisch gehackt. En PHP gebruiken maakt een website niet per definitie onveilig. Het onderscheid is of de gebruikte installatie kwetsbaar is en of ze tijdig wordt bijgewerkt.
Wat zijn de mogelijke gevaren voor uw bedrijf?
Bij een succesvolle aanval kunnen de gevolgen verder gaan dan een foutmelding op uw website:
- Gegevens blootleggen: informatie die voor de getroffen server toegankelijk is, kan in verkeerde handen vallen.
- Website of bestanden aanpassen: aanvallers kunnen binnen de rechten van het getroffen proces ongewenste code uitvoeren of wijzigingen aanbrengen.
- Dienstverlening verstoren: een aanval kan processen laten vastlopen en de beschikbaarheid van uw website aantasten.
- Zakelijke schade: een onbereikbare of misbruikte website kan aanvragen, bestellingen en vertrouwen kosten.
De concrete impact hangt af van de omgeving en de toegangsrechten. Een kritieke melding bewijst dus niet dat uw klantgegevens al gestolen zijn. Ze is wel een reden om meteen te handelen. Cloudflare meldt inmiddels aanvalspogingen tegen deze kwetsbaarheden. Dit is niet uitsluitend een theoretisch risico. 4
Wat moet u nu doen als uw website PHP gebruikt?
Neem vandaag contact op met uw hostingpartij of websitebeheerder. Vraag niet alleen of uw website nog werkt, maar of de PHP2Shell-beveiligingscorrecties daadwerkelijk zijn geïnstalleerd.
De officiële PHP-updates van 21 oktober 2026 zijn:
| PHP-reeks | Beveiligingsrelease |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Bij hosting met aangepaste softwarepakketten kan een leverancier de correctie ook in een bestaande versie verwerken. Laat daarom de aanwezigheid van de correctie bevestigen, in plaats van uitsluitend naar het versienummer te kijken. PHP 8.1 en ouder ontvangen geen reguliere updates meer van het PHP-project; vraag uw leverancier naar beschikbare correcties of een overstap naar een ondersteunde versie. 1
Een firewall of tijdelijke beperking kan extra bescherming geven, maar vervangt de update niet. Het PHP-team noemt bijwerken de enige volledige oplossing voor deze kwetsbaarheden. 1
Laat na de update ook controleren of de website en belangrijke functies nog werken. Zijn er aanwijzingen voor misbruik? Vraag dan om onderzoek van de serverlogboeken en herstel door uw beheerder. Alleen een update installeren maakt een eventueel al besmette website niet automatisch schoon.
Zijn de websites van Zentio getroffen?
De websites die wij op maat bouwen zonder PHP, worden niet geraakt door deze specifieke PHP-kwetsbaarheden. We schrijven die websites met eigen code en gebruiken daarvoor geen PHP. Voor die websites is er dus geen PHP2Shell-update nodig.
Dat betekent niet dat elke website waarbij Zentio betrokken is automatisch PHP-vrij is. Een bestaande WordPress-site, een andere webshopomgeving of een gekoppelde externe dienst kan wel PHP gebruiken en moet afzonderlijk worden gecontroleerd.
Onze boodschap is eenvoudig: geen reden tot onrust over dit specifieke PHP-lek bij onze PHP-vrije websites, wel blijvende aandacht voor beveiliging en onderhoud. Geen enkele technologie is een garantie tegen alle mogelijke aanvallen.
Beveiliging is ook belangrijk voor uw online resultaat
Uw website is vaak het eindpunt van een Google Ads-campagne of een zoekopdracht. Als die website uitvalt of bezoekers niet meer vertrouwen, heeft dat rechtstreeks invloed op de aanvragen die u ontvangt.
Daarom kijken we bij een website op maat verder dan het uiterlijk. Technische keuzes, bereikbaarheid en een betrouwbare aanvraagflow horen bij een website die uw bedrijf vooruithelpt.
Twijfelt u of uw website PHP gebruikt of weet u niet wie de updates beheert? Neem contact op met Zentio. We helpen u helder krijgen wat er gecontroleerd moet worden. Een gewone websitescan kan nuttige aandachtspunten tonen, maar bewijst niet dat een server vrij is van deze kwetsbaarheden of van een eerdere aanval.
Bronnen en actualiteit
Dit artikel is opgesteld op 21 oktober 2026, op basis van de onderstaande officiële meldingen en beveiligingsinformatie. Nieuwe inzichten kunnen het advies aanvullen; volg voor uw eigen installatie de actuele instructies van PHP en uw hostingpartij.
