PHP2Shell: wat het grote PHP-lek betekent voor je website, en wanneer het tijd is voor een nieuwe

Op 20 oktober 2026 lekten de details uit van twee kritieke beveiligingsfouten in PHP, een dag voordat de oplossing zou verschijnen. De ochtend erna liepen de eerste aanvallen al. Tweakers, de Tweede Kamer en het NCSC gingen uit voorzorg offline, net als Security.NL.

PHP is de programmeertaal onder WordPress, Joomla, Drupal, PrestaShop en een groot deel van het web. TechCrunch schat het op zo'n 70 procent. Heb je een website, dan is de kans dus groot dat dit over jou gaat.

In dit artikel lees je wat er gebeurde zonder vakjargon, wat je vandaag checkt, en waarom dit een goed moment is om je af te vragen of je site nog wel zo gebouwd moet zijn.

Wat is er gebeurd?

De twee fouten heten PHP2Shell (CVE-2026-109618 en CVE-2026-109619). Ze zitten in PHP zelf, niet in een plugin of een thema. Het beveiligingsteam van PHP gaf beide een 9,2 op 10. Het ernstige eraan: een aanvaller kan met één verzoek zijn eigen code op je server draaien, zonder wachtwoord en zonder dat iemand ergens op klikt.

De tijdlijn, volgens de beveiligingsbedrijven Sansec en Patchstack en volgens TechCrunch:

• Augustus 2026: onderzoekers van Calif en Wiz vinden de fouten en melden ze bij PHP. De oplossing wordt in stilte voorbereid, zodat hostingbedrijven als eerste kunnen bijwerken.
• 20 oktober: de details lekken uit, vóór de geplande publicatie.
• 21 oktober, 07:43 UTC: Cloudflare ziet de eerste aanvallen, uren voordat de oplossing openbaar is.
• 21 oktober, 14:00 UTC: PHP brengt de gerepareerde versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit.

Amazon raadde aan te zoeken naar sporen van aanvallen vanaf 17 oktober. Volgens Wiz is elke PHP-versie vanaf 5.4 kwetsbaar voor minstens een van de twee fouten.

Is mijn website kwetsbaar?

Draait je website op PHP en is de server sinds 21 oktober niet bijgewerkt, dan ja. Het maakt niet uit hoe goed je WordPress is onderhouden: het probleem zit eronder. Wiz liet de aanval zien op een volledig bijgewerkte WordPress-installatie.

Het grootste risico lopen de sites waar niemand meer naar omkijkt:

• de site die vijf jaar geleden is gebouwd en sindsdien "vanzelf" draait;
• gedeelde hosting waarbij je de PHP-versie niet kunt kiezen of zien;
• servers op PHP 8.1 of ouder. Die versies krijgen geen officiële updates meer. Sommige hostingbedrijven en Linux-distributies hebben de oplossing zelf ingebouwd, maar lang niet allemaal.

Wat doe ik vandaag?

1. Vraag je hostingbedrijf of webbureau op welke PHP-versie je site draait en of de PHP2Shell-oplossing erop staat. Een concreet antwoord is goed. "We gaan het bekijken" niet.
2. Op PHP 8.1 of ouder: vraag of je hosting de oplossing zelf heeft ingebouwd. Zo niet, dan is upgraden geen keuze meer.
3. Installeer geen "fix"-plugins of stukjes code van forums. De fout zit in PHP zelf, en alleen een update van PHP lost hem op.
4. Liep je dagen zonder oplossing, behandel de server dan als mogelijk gehackt: wijzig je wachtwoorden en kijk of er beheerdersaccounts zijn die je niet kent.

Waarom dit een moment is om je website opnieuw te bekijken

PHP2Shell wordt gerepareerd en vergeten. De volgende kritieke fout komt toch wel, in PHP of ergens anders. De echte vraag is niet "ben ik nu bijgewerkt?", maar "hoeveel kan er misgaan met mijn site, en wie houdt hem bij?"

En dat hangt sterk af van hoe je site gebouwd is.

Pure HTML. Een website van vaste bestanden. Als iemand hem bezoekt, draait er geen code op de server: geen database, geen beheerderslogin. Een fout als PHP2Shell heeft simpelweg niets om aan te vallen. Voor een visitekaartjessite, een portfolio of een landingspagina die weinig verandert is het de snelste en veiligste optie die er is. Het nadeel: een tekst aanpassen is een kleine klus voor je webbureau, tenzij we er een eenvoudige editor bij zetten.

Next.js. Een modern framework dat de meeste pagina's van tevoren omzet in kant-en-klare bestanden en die vanaf een wereldwijd netwerk serveert. Er zit geen PHP in en geen WordPress-beheerpaneel. Het past bij sites met meer pagina's, meerdere talen, een blog of een boekingsmodule. Eerlijk is eerlijk: ook Next.js is niet onkwetsbaar. Afgelopen december moest er na de React2Shell-fout ook met spoed worden bijgewerkt. Het verschil is dat er veel minder aanvalsoppervlak is, en geen stapel plugins van verschillende makers om bij te houden.

WordPress, goed geregeld. WordPress is niet slecht, en we bouwen het nog steeds als een klant veel zelf wil aanpassen. Maar dan hoort er beheerde hosting bij die PHP binnen uren bijwerkt, weinig plugins, en iemand die er elke maand naar kijkt. Een WordPress-site zonder onderhoud is precies de site waarvoor PHP2Shell gemaakt is.

Wanneer loont opnieuw bouwen?

Niet altijd. Een goed onderhouden WordPress-site op goede hosting kan nog jaren mee. Opnieuw bouwen is het overwegen waard als:

• je site op PHP 8.1 of ouder draait en een upgrade je thema of plugins breekt;
• je de inhoud zelden zelf aanpast, maar wel een heel CMS betaalt en onderhoudt;
• je site traag is en je toch al aan een nieuw ontwerp dacht;
• niemand je kan vertellen wie je server onderhoudt.

In die gevallen is een site in pure HTML of Next.js vaak goedkoper om draaiende te houden dan de oude te blijven repareren.

Wil je weten hoe jouw website ervoor staat? Plan het gesprek. We bekijken je PHP-versie en je hosting, en zeggen eerlijk of onderhouden, verhuizen of opnieuw bouwen de slimste stap is.

Bronnen

• Patchstack: Major security alert, PHP vulnerable to critical RCE, attacks ongoing (Engels)
• Sansec: PHP2Shell, PHP RCE (CVE-2026-109618, CVE-2026-109619) (Engels)
• TechCrunch: PHP-ocalypse, how two critical web bugs almost broke the internet (Engels)
• The Hacker News: PHP2Shell, two critical PHP RCE flaws (Engels)
• watchTowr: CVE-2026-109618 FAQ (Engels)

Noah WinkelmanSelva Digital

Bouwt websites en de systemen erachter voor kleine bedrijven in Spanje en Nederland. Schrijft op wat klanten twee keer vragen.