PHP-beveiligingslek: zo controleer en herstel je jouw website

Je website kan normaal werken terwijl de software erachter een urgente beveiligingsupdate nodig heeft. Een nieuwe pagina, plug-inupdate of AI-frontend vertelt je niet of de PHP-engine van een ander onderdeel ook is bijgewerkt.

PHP heeft op 21 oktober 2026 beveiligingsupdates uitgebracht voor CVE-2026-109618 en CVE-2026-109619. De fixes zijn nu beschikbaar. Beide lekken kunnen uitvoering van code op afstand mogelijk maken zonder in te loggen. Controleer per domein welke PHP-dienst erachter zit en vraag bewijs dat de fix actief is.¹

Bijgewerkt op 21 oktober 2026 om 17:01 CEST na de officiële beveiligingsrelease. De eerdere versie van 13:28 CEST beschreef de vooraankondiging. Deze waarschuwing bewijst geen wereldwijde storing en evenmin dat jouw website is gehackt.

Wat PHP is en waarom je AI-app er toch van kan afhangen

PHP is een programmeertaal die op een server wordt uitgevoerd. Die server verwerkt PHP-code en stuurt een pagina of API-antwoord terug. WordPress gebruikt PHP. Een moderne frontend kan daarnaast een oudere PHP-backend, WordPress-content of een apart beheerportaal aanroepen. Aan de buitenkant zie je die keten niet volledig.⁵ ¹⁰

W3Techs meet op 21 oktober 2026 PHP bij 69,3 procent van de websites waarvan het de servertaal kan vaststellen. Dat laat zien hoe breed PHP wordt gebruikt. Het is geen percentage van alle websites en zeker geen telling van kwetsbare of gehackte sites.⁴

Welke PHP-diensten hebben de fix nodig?

Het officiële advies geldt voor PHP-installaties die webverzoeken afhandelen, waaronder PHP-FPM, Apache mod_php, php-cgi, FrankenPHP en LiteSpeed. PHP noemt mod_php de configuratie met het hoogste risico. Een inlogscherm bewijst geen bescherming: de beheerders beschrijven een aangetoonde aanvalsroute vóór de applicatiecode draait.¹

Reuters berichtte op 21 oktober over de internationale waarschuwing. In dat bericht beschreef een Cloudflare-bestuurder vroege aanvallen, terwijl de Australische cyberautoriteit op haar meetmoment nog geen actieve uitbuiting kende. Dat zijn toegeschreven waarnemingen, geen geverifieerde wereldwijde aanvalsteller. Voor praktisch handelen hoef je niet te beweren dat elke site al wordt aangevallen.³

Begin bij de actieve dienst, niet bij de naam op je factuur

Maak een lijst van de domeinen en subdomeinen van je product. Neem de marketingsite, blog, beheeromgeving, klantportaal en API mee, plus oude testsites die nog publiek bereikbaar zijn. Zoek per onderdeel uit waar het verkeer werkelijk naartoe gaat en wie die dienst beheert. Ontbreekt bewijs, noteer dan onbekend.

WordPress en TransIP controleren zonder terminal

Open in WordPress Gereedschap > Sitediagnose > Informatie > Server en noteer de getoonde PHP-versie. In een Engelstalig dashboard is dat Tools > Site Health > Info > Server. Dit helpt bij de inventarisatie, maar is geen specifieke test voor deze lekken. Houd de technische informatie privé.⁵

Bij TransIP-webhosting is de gedocumenteerde route Webhosting, je domein, Geavanceerd en daarna PHP-instellingen. Kies niet zomaar een nieuwere PHP-tak om te zien wat er gebeurt. Vraag of de exacte build achter dit domein de fix bevat en of een herstart of andere actie nog nodig is. Wij hebben de publieke documentatie gecontroleerd, niet jouw TransIP-account.⁶

Vraag je host: “Bevat de PHP-build die nu [domein] afhandelt de fixes voor CVE-2026-109618 en CVE-2026-109619? Geef de actieve build of pakketversie, het beveiligingsadvies, het afrondingstijdstip en wat ik eventueel nog moet doen.”

Geef Claude Code of Codex een afgebakende onderzoeksopdracht

Een agent kan je repository en toegestane deployment-instellingen onderzoeken. Hij kan niet bewijzen wat er draait op een host waar hij niet bij kan. Laat daarom eerst een inventarisatie met bewijs en ontbrekende toegang maken. De volgende opdracht is een verdedigende werkwijze, geen aanvalstest.

Onderzoek dit product op PHP-gebruik in verband met CVE-2026-109618 en CVE-2026-109619. Begin alleen-lezen. Breng domeinen, subdomeinen, actieve runtimes, containers, reverse proxies en externe CMS/API-diensten in kaart. Bekijk uitsluitend toegestane repositories en providerpanelen. Rapporteer per PHP-dienst de beheerder, de werkelijk gebruikte webserverbuild, publieke bereikbaarheid, het leveranciersadvies en de bevestigde patchstatus, met bewijs en tijdstip. Controleer waar relevant TransIP, eigen Vercel-runtimes/rewrites en apps die Supabase gebruiken. Ontbreekt toegang, noteer onbekend en benoem precies welk bewijs mist. Toon geen geheimen, maak geen openbare phpinfo-bestanden, voer geen aanvalstests uit, benader geen derden en wijzig productie niet. Stel de kleinste patch- of afschermingsmaatregel voor, met impact, back-up, terugvalplan en verificatie. Stop voor mijn akkoord vóór wijzigingen.

Installeer een geverifieerde runtime-fix en controleer de actieve dienst

Gebruik de gerepareerde release binnen je ondersteunde PHP-tak, of een leverancierspakket waarvan het beveiligingsadvies beide fixes bevestigt. De tabel toont de upstream-releases. Een distributie kan een fix terugplaatsen met behoud van een ouder versienummer. Vraag daarom naar het pakketadvies en de actieve build.¹¹ ¹²

PHP 8.1 en ouder krijgen geen reguliere upstream-beveiligingsreleases. Regel een geteste overstap of vraag bewijs van ondersteunde leverancierspatches. PHP heeft minimale broncodepatches voor 7.4, 8.0 en 8.1 beschikbaar gesteld. Dat is geen kant-en-klare hostingupdate. Laat de beheerder de ondersteunde route bepalen.¹ ⁹

Laat de beheerder vaststellen of PHP-FPM, Apache, containers of achtergrondprocessen opnieuw moeten starten of uitrollen. Controleer daarna de build van het proces dat echt webverkeer afhandelt. Test de belangrijke routes, zoals inloggen, formulieren, uploads, afrekenen en geplande taken. Een lokaal php -v-resultaat kan bij een andere interpreter horen dan de website. Alleen een werkende homepage controleren is te beperkt.

Kun je niet patchen, scherm de dienst af vóór PHP draait

Volgens het PHP-team maken tijdelijke maatregelen een ongerepareerde installatie niet veilig. CERT-EU adviseert afscherming te overwegen als direct herstellen niet lukt. Spreek voor een kritieke publieke PHP-dienst gerichte beperkingen af met de beheerder totdat de gecontroleerde runtimefix actief is.¹ ²

Beperk de toegang tijdelijk bij de provider, reverse proxy of netwerkgrens, voordat een verzoek PHP bereikt. Neem ook rechtstreekse toegang tot de originserver mee. Een WordPress-onderhoudsplug-in kan PHP nog steeds uitvoeren. Een onderhoudspagina binnen de applicatie is dus geen bewijs dat de runtime is afgeschermd.

Kies de kleinste maatregel die werkelijk werkt. Een losse getroffen blog kan mogelijk worden afgeschermd zonder een andere applicatie stil te leggen. Behoud toegestane beheerstoegang, noodzakelijke dienstverlening en bewijs. Zijn er aanwijzingen voor inbraak, bewaar logs en schakel incidenthulp in. Een patch bewijst niet dat een eerdere inbraak is opgeruimd.

Houd onbekend zichtbaar tot er bewijs ligt

Dit artikel is geen audit van jouw infrastructuur en geen veiligheidscertificaat voor een provider. Het geeft je een inventarisatie, een verantwoordelijke en een controleerbare vervolgstap. De ernstscore en een technologiedetector bewijzen niet dat een specifieke aanvraag jouw product kan misbruiken.

Dat is ook de bewijsdiscipline van de Forenta Journal: leg vast wat werkelijk is bekeken, wat onbekend blijft en wie het volgende punt oppakt. Het verwante artikel “Wat een geslaagde build werkelijk aantoont” beschrijft waarom je een geslaagde controle binnen zijn grenzen moet lezen. Het bruikbare resultaat is hier een gedateerd patch- of afschermingsbewijs voor elke publieke PHP-dienst.