PHP-lek oktober 2026: wat betekent het voor je WordPress-site?
Op 20 oktober 2026 kondigde het PHP-beveiligingsteam een spoedrelease aan voor twee kritieke kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. WordPress draait op PHP, dus als je een WordPress-site hebt, gaat dit ook over jou.
Wat is er aan de hand?
- PHP geeft beide lekken een CVSS-score van 9.2 (CVSS v4.0), dus kritiek.
- Volgens CERT-EU kan het gaan om remote code execution zonder inloggen: een aanvaller kan dan van buitenaf code op de server uitvoeren.
- Volgens CERT-EU kunnen alle PHP-versies vanaf PHP 5 getroffen zijn. Het NCSC zegt dat in elk geval alle versies vanaf 5 kwetsbaar zijn.
- PHP plande de release met de fixes op 21 oktober 2026 om 14:00 UTC (16:00 uur Nederlandse tijd). Officiële details, getroffen versies en gerepareerde versies publiceert PHP bij die release.
- Volgens het NCSC komen de updates voor zover bekend alleen uit voor PHP 8. Oudere versies (end-of-life) krijgen waarschijnlijk geen patch.
- Veel organisaties, onder wie DigiD en MijnOverheid, haalden websites uit voorzorg offline (bron: NOS).
Wat betekent dit voor je WordPress-site?
WordPress is in PHP geschreven. Het lek zit niet in WordPress of in een plugin, maar in PHP zelf, op de server van je hostingpartij. Of je site risico loopt, hangt dus vooral af van de PHP-versie op je hosting en hoe snel die wordt bijgewerkt.
Wat doe je nu?
- Vraag je hostingpartij naar de status. Bij gedeelde hosting werkt de hoster PHP meestal zelf bij. Vraag of de gepatchte PHP-versie al draait en wat ze tot die tijd doen.
- Controleer je PHP-versie. Die vind je meestal in het hostingpaneel (bijvoorbeeld Plesk, DirectAdmin of cPanel) of in WordPress onder Extra → Sitestatus. Draai je een oude versie (PHP 5, 7 of 8.0/8.1)? Stap over naar een ondersteunde PHP 8-versie zodra je hoster de patch heeft. Test je site na het overstappen.
- Beheer je zelf een server of VPS? Installeer de PHP-updates zodra ze beschikbaar zijn. Kan dat niet direct, overweeg dan volgens CERT-EU en het NCSC om de site tijdelijk van internet te halen.
- Loop je plugins en thema na. Plugins lossen dit lek niet op, maar het is een goed moment om ze bij te werken en ongebruikte plugins te verwijderen. Werkt een plugin niet met een nieuwere PHP-versie? Dan is dat een signaal om hem te vervangen.
- Houd je site in de gaten. Let op onbekende beheerders, nieuwe bestanden of vreemde redirects. Maak een back-up voordat je dingen aanpast.
- Volg de officiële bronnen. De informatie verandert snel. Hieronder staan de bronnen die we hebben gebruikt.
Bronnen
- PHP: aankondiging van de beveiligingsrelease (20 oktober 2026)
- CERT-EU: Critical Vulnerabilities in PHP (advisory 2026-018)
- NCSC (VK): Critical security issue affecting PHP
- NCSC (NL) via Rijksoverheid: Ernstige kwetsbaarheden in PHP
- NOS liveblog: websites kwetsbaar voor softwarelek
Liever een website zonder PHP?
De websites die SiteBirds met AI bouwt en host, draaien niet op PHP en gebruiken geen WordPress-plugins. Dat betekent: geen PHP en geen plugins om te patchen. Andere beveiligingsrisico's bestaan natuurlijk wel, en het onderhoud daarvan doen wij. Lees meer over een website zonder PHP als WordPress-alternatief of bekijk de vergelijking met Wix en WordPress.