Mijn hostingbedrijf zegt dat PHP is gepatcht. Wat moet ik zelf nog doen?

WindowsMacBijgewerkt

Een patch van je hostingbedrijf werkt PHP bij, de taal waarmee de servers je site draaien. Het PHP-project bracht die fixes op 21 oktober 2026 uit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De software die jij daarbovenop hebt geïnstalleerd, is een aparte klus: de hardeningsgids van WordPress zegt dat webhosts de infrastructuur beheren, maar niet verantwoordelijk zijn voor de applicatie die jij installeert.

Kort antwoord

De patch van je hostingbedrijf dekt PHP op zijn servers. Op je eigen account werk je WordPress of je CMS bij, met de plugins en thema's. Controleer welke PHP-versie elke site echt gebruikt, want in cPanel kan elk domein zijn eigen versie hebben. Kijk of er sporen van inbraak zijn, en verander je wachtwoorden als er iets niet klopt.

Wat dekt de PHP-patch van mijn hostingbedrijf?

PHP zelf. Het PHP-advies van 21 oktober 2026 zegt dat twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, alle PHP-installaties raken die webverzoeken verwerken en remote code execution zonder authenticatie mogelijk kunnen maken. In gewone taal: iemand zou zonder in te loggen zijn eigen code op de server kunnen uitvoeren. Het advies noemt PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed, allemaal serversoftware, dus bij gedeelde of beheerde hosting ligt die update bij je hostingbedrijf. Het Nationaal Cyber Security Centrum (NCSC) zegt het ook zo: beheer je je IT-omgeving niet zelf, neem dan contact op met je hostingpartij of IT-leverancier.

De patch werkt WordPress, een thema of een plugin niet bij. Die hebben hun eigen updates.

Over misbruik: het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Los daarvan beschrijft het PHP-advies het risico als het hoogst bij Apache met mod_php, met een aangetoonde aanvalsmethode waarbij een niet-aangemeld verzoek de aanval kan starten voordat er applicatiecode draait.

Moet ik WordPress, plugins en thema's nog steeds bijwerken?

Ja. De hardeningsgids van WordPress zegt dat je altijd de nieuwste versie van WordPress moet gebruiken, en dat oudere versies geen beveiligingsupdates meer krijgen. Voor plugins geeft hij hetzelfde advies, en hij zegt plugins die je niet gebruikt te verwijderen. Maak eerst een back-up, zoals de updategids van WordPress aanraadt.

  1. Log in op je dashboard en ga naar Dashboard > Updates.
  2. Staat er een nieuwe WordPress-versie, klik dan op Nu updaten.
  3. Vink op hetzelfde scherm de plugins en thema's aan die een update hebben, en klik op Plugins updaten of Thema's updaten. Met het vakje bovenaan een onderdeel selecteer je alles in één keer.
  4. Ga naar Plugins > Geïnstalleerde plugins en verwijder plugins die je niet meer gebruikt.

WordPress zegt dat de meeste sites kleine releases en beveiligingsreleases nu automatisch op de achtergrond installeren, maar dat je voor een grote release nog steeds zelf op Nu updaten klikt.

Op welke PHP-versie draait mijn site echt?

Controleer het in plaats van het aan te nemen. De documentatie van cPanel zegt dat elk domein elke geïnstalleerde PHP-versie kan gebruiken. De versie die je hostingbedrijf heeft gepatcht en de versie die elk van je sites draait, kun je dus het best apart nagaan. Onze gids de PHP-versie van je website controleren laat zien waar je kijkt in WordPress en in cPanel. Draait een site een oudere release, dan legt PHP updaten in WordPress uit hoe je overstapt. PHP 8.1 en ouder krijgen geen updates meer van het PHP-project, dus voor een site op een van die versies moet je met je hostingbedrijf praten.

Moet ik mijn site controleren op sporen van inbraak?

Ja, als er een periode was voordat de patch er was. Het Britse NCSC zegt dat wie een systeem niet meteen kan bijwerken of uitschakelen, het systeem moet onderzoeken op sporen van inbraak voordat het wordt bijgewerkt of beschermd, en moet zoeken naar achterdeurtjes. Het Belgische Centrum voor Cybersecurity (CCB) schrijft dat patchen kan beschermen tegen toekomstig misbruik, maar een eerdere inbraak niet herstelt.

  1. Ga naar Gebruikers > Alle gebruikers en klik boven de tabel op Beheerder. De FAQ van WordPress over gehackte sites noemt nieuwe gebruikers als duidelijk teken.
  2. Open het rapport Beveiligingsproblemen in Google Search Console. Google schrijft dat je daar zijn bevindingen ziet als je site is gehackt of gedrag vertoont dat schadelijk kan zijn voor bezoekers.
  3. Vraag je hostingbedrijf of het iets heeft opgemerkt op je account.

Onze gids over de tekenen dat je WordPress-site gehackt is loopt elke controle uitgebreider door.

Wanneer moet ik mijn wachtwoorden veranderen?

Meteen, als er iets niet klopt. De FAQ van WordPress zegt dat je elk toegangspunt verandert: FTP of SFTP, de WordPress-beheeromgeving, cPanel of een ander hostingpaneel, en de database, voor iedereen met toegang, niet alleen voor jezelf. Website gehackt: wat nu? zet de wachtwoorden op volgorde, samen met de rest van het eerste uur.

Wat vraag ik mijn hostingbedrijf?

Korte, feitelijke vragen leveren de bruikbaarste antwoorden op.

  1. Op welke PHP-versie draait elk van mijn sites nu, en is dat 8.5.12, 8.4.27, 8.3.36 of 8.2.35?
  2. Staat een van mijn domeinen op Inherited (overgenomen), wat is dan de standaardversie van de server?
  3. Draait een site op PHP 8.1 of ouder, hebben jullie dan een teruggezette fix toegepast? Het PHP-project zegt dat sommige leveranciers die aanbieden.
  4. Hebben jullie session.upload_progress.enabled op 0 gezet? Het informatieve advies van PHP van 23 oktober stelt dat voor tot de volgende reguliere bugfix-release.
  5. Hebben jullie iets gezien op mijn account, of op de server die ik deel, dat op een inbraak wijst? De FAQ van WordPress zegt dat een hack bij gedeelde hosting meer dan één site kan raken.
  6. Welke back-ups van mijn site bewaren jullie? WordPress raadt aan je hostingbedrijf naar zijn back-upbeleid te vragen.

Meer vragen

Is mijn hostingbedrijf getroffen door PHP2Shell?

Als het PHP gebruikt om websites te draaien, viel het eronder tot het bijwerkte. Het NCSC adviseert zo snel mogelijk de nieuwste beveiligingsupdates voor PHP te installeren en kwetsbare systemen uit voorzorg offline te houden tot dat is gebeurd. Onze gids over de PHP-kwetsbaarheid behandelt de kwetsbaarheden zelf.

Mijn hostingbedrijf heeft PHP gepatcht. Is mijn site nu veilig?

De twee PHP-kwetsbaarheden zijn opgelost in de herstelde releases. De hardeningsgids van WordPress wijst er wel op dat je site op een gedeelde server mogelijk ook getroffen kan zijn als er is ingebroken op een andere site op die server. Je eigen updates, de versiecontrole en de controle op inbraak blijven belangrijk.

Doet een web application firewall hetzelfde als de patch?

Nee. CISA schrijft dat een web application firewall kan helpen tot er is gepatcht. Het PHP-advies zegt dat alleen een update een volledige oplossing is, en dat zijn tijdelijke maatregelen een installatie niet veilig maken. Meer hierover in je website veilig testen op PHP2Shell.

Waar ging het PHP-advies van 23 oktober over?

Over een verwante, onwaarschijnlijke route voor remote code execution, CVE-2026-115560. PHP zegt dat die alleen optreedt bij een ongebruikelijke combinatie van configuratie en applicatiecode, en stelt voor session.upload_progress.enabled op 0 te zetten tot de volgende reguliere release. Het NCSC schrijft dat PHP de kwetsbaarheid in een volgende reguliere bugfix-release verhelpt. Die instelling staat op de server, dus je hostingbedrijf past haar aan.

Moet mijn site offline tot het hostingbedrijf heeft gepatcht?

Het NCSC adviseerde op 22 oktober systemen die nog kwetsbaar zijn uit voorzorg offline te houden totdat de updates zijn doorgevoerd. CISA zegt PHP-systemen offline te halen als ze niet meteen kunnen worden bijgewerkt, of als ze nog PHP 8.1 of ouder draaien. Staat je site bevestigd op een herstelde release, dan geldt dat advies niet meer voor die site.

Bronnen