Is mijn website kwetsbaar? Zo controleer je de PHP-versie

WindowsMacBijgewerkt

Het PHP-project bracht op 21 oktober 2026 updates uit voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, die het Amerikaanse agentschap CISA "php2shell" noemt. De herstelde versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Om te weten waar je site staat, heb je één nummer nodig: de PHP-versie waarop je hostingpartij hem draait. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Je vindt de PHP-versie van je site in WordPress onder Tools > Sitediagnose > Informatie > Server, in het beheerpaneel van je hosting, of door het je hostingpartij te vragen. De herstelde versies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Is jouw versie ouder dan de fix voor die reeks, vraag dan om een update.

Welke PHP-versies zijn kwetsbaar en welke zijn hersteld?

Volgens het PHP-advies van 21 oktober 2026 zijn alle PHP-installaties getroffen die webverzoeken verwerken. Het NCSC vat het samen in zijn advisory: de kwetsbaarheden kunnen zonder authenticatie op afstand worden misbruikt om willekeurige code uit te voeren. Iemand kan dan zijn eigen opdrachten op de server laten draaien zonder in te loggen.

Het PHP-project en het NCSC noemen per ondersteunde reeks één herstelde versie:

Je versie begint metHersteld in
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35
8.1, 8.0, 7.x of oudergeen reguliere update meer van het PHP-project

De releasenotes zeggen dat er geen volledige tijdelijke oplossing bestaat en dat updaten de enige veilige keuze is.

Over misbruik: het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Los daarvan beschrijft het PHP-advies een aangetoonde aanvalsmethode voor één veelgebruikte opzet, Apache met mod_php, die het als grootste risico ziet.

Hoe zie ik de PHP-versie in WordPress?

WordPress toont die in Sitediagnose. De pagina "PHP updaten" van WordPress.org beschrijft deze route.

  1. Log in op het dashboard van je WordPress-site.
  2. Ga naar Tools > Sitediagnose.
  3. Klik op het tabblad Informatie.
  4. Klap de sectie Server uit.
  5. Scroll naar de regel PHP versie.

WordPress beschrijft het tabblad Informatie als alleen informatief: je kunt er niets wijzigen. Volgens WordPress.org kun je op het dashboard of in Sitediagnose ook een waarschuwing zien dat je PHP moet bijwerken. In het Nederlandse WordPress heet die "PHP update vereist" of "Updaten van PHP aanbevolen".

Hoe zie ik de PHP-versie in cPanel?

Geeft je hostingpartij je cPanel, dan toont de MultiPHP Manager je domeinen en de PHP-versie van elk domein. De documentatie van cPanel plaatst de tool onder Software.

  1. Log in op cPanel.
  2. Open MultiPHP Manager.
  3. Zoek je domein in de lijst en lees de PHP-versie af.

Staat bij het domein het label Inherited, dan gebruikt het volgens cPanel de standaardversie van de server, die alleen de serverbeheerder instelt. In dat geval is de versie, en dus ook de update, een keuze van je hostingpartij. Vind je MultiPHP Manager niet, dan heeft je hostingpartij hem misschien uitgezet, wat cPanel mogelijk maakt. Andere beheerpanelen hebben eigen schermen. Kijk dan in de helppagina's van je hostingpartij.

Wat als ik mijn PHP-versie niet kan vinden?

Vraag het je hostingpartij. De pagina "PHP updaten" van WordPress.org raadt aan je host te mailen als je het niet zelf kunt vinden, en geeft daar een voorbeeldtekst voor. Het NCSC zegt hetzelfde: beheer je je IT niet zelf, neem dan contact op met je hostingpartij of IT-leverancier. Stel voor deze kwestie twee vragen:

  1. Op welke PHP-versie draait mijn site nu?
  2. Is die bijgewerkt naar de herstelde versie uit het PHP-beveiligingsadvies van 21 oktober 2026 (8.5.12, 8.4.27, 8.3.36 of 8.2.35)?

Heb je meer dan één site of domein, vraag het dan voor elk. De documentatie van cPanel laat zien dat elk domein een andere versie kan gebruiken.

Mijn versie is niet hersteld. Wat nu?

Update PHP, of laat je hostingpartij dat doen. Het PHP-advies noemt een paar tijdelijke instellingen die de blootstelling verkleinen, maar zegt dat ze een installatie niet veilig maken. Het NCSC: zolang systemen niet zijn bijgewerkt, is het nodig ze uit voorzorg offline te houden. Voor organisaties heeft het NCSC een beslisboom gepubliceerd om na te gaan welke maatregelen ze kunnen nemen.

Hoe je update, hangt af van wie de server beheert:

  1. Bij gedeelde of beheerde hosting is PHP van je hostingpartij. Vraag of ze je site naar de herstelde versie zetten, of naar een ondersteunde reeks die er een heeft.
  2. Laat je beheerpaneel je zelf een versie kiezen, dan kun je hem misschien zelf wijzigen. Onze gids PHP updaten in WordPress loopt het door, met eerst een back-up.

Denk je dat de site al is aangepast voordat je kon updaten, lees dan website gehackt: wat nu? Het Belgische CCB schrijft dat een update toekomstig misbruik kan tegenhouden, maar een eerdere inbraak niet ongedaan maakt.

Wat als mijn site op PHP 8.1 of ouder draait?

Het PHP-project schrijft dat PHP 8.1 en ouder geen updates meer van het project krijgen. Sommige distributies en LTS-leveranciers bieden wel teruggezette fixes; neem daarvoor contact op met je leverancier of stap over op een ondersteunde versie. De minimale patches die het PHP-team voor 7.4, 8.0 en 8.1 uitbracht, zijn broncodepatches voor wie PHP zelf uit de broncode bouwt of geen LTS-leverancier heeft.

Voor een persoonlijke site betekent dat: vraag je hostingpartij rechtstreeks of ze een fix op jouw versie hebben toegepast. Het NCSC schreef al voor de release dat de updates voor zover bekend alleen voor PHP 8 kwamen, en adviseerde end-of-life-versies te upgraden naar versies waarvoor patches bestaan.

De pagina met ondersteunde versies van PHP laat ook zien dat PHP 8.2 alleen tot 31 december 2026 beveiligingsupdates krijgt. Een site op 8.2.35 is nu hersteld, maar moet binnenkort naar een nieuwere reeks. WordPress.org raadt PHP 8.3 of hoger aan.

Kan een online scanner zeggen of mijn site veilig is?

Geen van de officiële pagina's hieronder noemt online scanners. Wat het PHP-advies je geeft, is een lijst herstelde versies. De controle die telt is dus de versie van je site, en of die gelijk is aan of hoger dan de fix voor die reeks. Je hostingpartij kan dat bevestigen, en Sitediagnose of je beheerpaneel laat het zien.

Meer vragen

Wat is PHP2Shell?

De naam waaronder CISA de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 kent. Ze zitten in PHP zelf, niet in WordPress of een plugin. Onze uitleg over de PHP-kwetsbaarheid gaat er dieper op in.

Is PHP 8.3.36 veilig voor PHP2Shell?

PHP 8.3.36 is volgens het PHP-advies van 21 oktober 2026 de herstelde versie voor de 8.3-reeks. De andere zijn 8.5.12, 8.4.27 en 8.2.35. Op 23 oktober publiceerde PHP nog een informatief advies over een losse, onwaarschijnlijke fout bij ongebruikelijke sessie-instellingen.

Mijn WordPress is up-to-date. Ben ik dan veilig?

Niet per se. De kwetsbaarheden zitten in PHP, de taal waarop WordPress draait, en het advies zegt dat alle PHP-installaties die webverzoeken verwerken getroffen zijn. Op veiliginternetten.nl noemt het NCSC WordPress als een van de bekende programma's die PHP gebruiken. De fix voor dit probleem is een nieuwere PHP-versie.

Mijn hostingpartij zegt dat het opgelost is. Moet ik nog iets doen?

Vergelijk de versie in Sitediagnose of je beheerpaneel met de lijst hierboven, zodat je weet dat het voor jouw site geldt. Heb je meer domeinen, controleer dan elk domein.

Bronnen