Het PHP-lek (PHP2Shell): wat is het en moet jij iets doen?

Het PHP-lek, ook wel PHP2Shell genoemd, is een ernstige kwetsbaarheid in PHP waarmee hackers zonder in te loggen hun eigen code kunnen uitvoeren op de server van een website. PHP is de programmeertaal waar een groot deel van alle websites op draait, ook WordPress.

Op 21 oktober gingen daardoor in Nederland de ene na de andere website offline. De Tweede Kamer, het Nationaal Cyber Security Centrum, Notubiz, ANP en busmaatschappij EBS haalden uit voorzorg systemen uit de lucht. Wat is er aan de hand, en moet jij iets doen?

Update 21 oktober, 20.45 uur: de beveiligingsupdate van PHP is uit. Het lek is gedicht in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Laat je hoster of webbouwer controleren of jouw website al op een van deze versies draait.

Wat is er precies lek?

Het beveiligingsteam van PHP kondigde op 20 oktober een spoedupdate aan voor twee kritieke kwetsbaarheden. Ze krijgen allebei een score van 9,2 op 10, de zwaarste categorie. Volgens beveiligingsonderzoekers kan een aanvaller via deze lekken eigen code uitvoeren op de server waar je website draait. Daarmee kan hij bijvoorbeeld bestanden aanpassen, malware plaatsen of klantgegevens stelen.

Het lek zit in PHP zelf, niet in een plugin of thema. Dat maakt het zo groot: het maakt niet uit hoe netjes je website verder is bijgehouden. De twee lekken staan bekend als CVE-2026-109618 en CVE-2026-109619, ook wel PHP2Shell genoemd.

Op woensdag 21 oktober om 16.00 uur bracht PHP de update uit. Het lek is gedicht in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De PHP Foundation is duidelijk: draai je PHP, update dan nu. Totdat de update op jouw server staat, is je website kwetsbaar. Cloudflare, dat voor veel websites als firewall werkt, zag al eerder de eerste aanvallen.

Draait mijn website op PHP?

Grote kans van wel als je website is gemaakt met een van deze systemen:

• WordPress, ook met WooCommerce als webshop
• Joomla of Drupal
• Magento of PrestaShop
• Een website die je webbouwer zelf in PHP heeft gemaakt, bijvoorbeeld met Laravel

Weet je het niet zeker? Hieronder lees je hoe je het zelf nagaat.

Draait Wix, Shopify of JouwWeb op PHP?

Heb je een website of webshop bij Wix, Shopify of JouwWeb, dan hoef je niets te doen. Je huurt je website bij een platform dat zelf de servers beheert. Je kunt daar geen PHP-versie kiezen of bijwerken, en dat hoeft ook niet: het dichten van zo'n lek is het werk van de aanbieder.

• Wix: niets doen, Wix beheert de techniek achter je site.
• Shopify: niets doen, Shopify beheert de servers.
• JouwWeb: niets doen, JouwWeb beheert de servers.
• Squarespace, Webflow en vergelijkbare websitebouwers: hetzelfde verhaal.

Uitzondering: heb je naast zo'n platform nog een losse WordPress-site, blog of landingspagina bij een andere hoster? Dan geldt het advies hieronder wel voor die site.

Hoe weet ik of mijn website op PHP draait?

Een paar snelle manieren om het na te gaan:

• Log je in via /wp-admin? Dan heb je WordPress, en dat draait altijd op PHP. Je ziet het ook aan /wp-content/ in de adressen van je afbeeldingen.
• Eindigen adressen op je site op .php? Bijvoorbeeld index.php of contact.php. Dan draait je site op PHP. Zie je nergens .php, dan zegt dat nog niets, want veel PHP-sites verbergen dat.
• Beheer je je hosting via Plesk, cPanel of DirectAdmin? Bij de PHP-instellingen van je domein staat welke versie je site gebruikt.
• Vraag het na. Stuur je webbouwer of hoster één vraag: "Draait mijn website op PHP, en is de beveiligingsupdate van 21 oktober al geïnstalleerd?"

Wat moet je vandaag doen?

Hoe merk je of je website gehackt is?

Een gehackte website ziet er lang niet altijd anders uit. Let de komende weken op signalen zoals:

• Bezoekers die worden doorgestuurd naar vreemde websites
• Nieuwe beheerders of gebruikers die je niet kent
• Een waarschuwing van Google in de zoekresultaten of in Search Console
• Spammails die vanaf jouw domein lijken te komen
• Een website die ineens veel trager is

Zie je iets geks? Neem direct contact op met je webbouwer of hoster. Hoe sneller je reageert, hoe kleiner de schade. En werken er klantgegevens mee, zoals bij een webshop of contactformulier, dan moet je een datalek mogelijk binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

Updates zijn geen bijzaak

Dit soort lekken komt vaker voor dan je denkt. Meestal worden ze stil gedicht voordat iemand ze misbruikt. Dit keer is het groot nieuws omdat zoveel websites tegelijk geraakt worden. De les is dezelfde: een website is nooit klaar. Iemand moet de software eronder bijhouden, en jij moet weten wie dat is.

Onze eigen websites bouwen we in Next.js, zonder PHP en zonder plugins. Dit lek raakt die sites niet, en er is minder software die bijgehouden moet worden. Dat betekent niet dat WordPress slecht is. Het betekent wel dat je met WordPress een vaste afspraak nodig hebt over updates en back-ups.