Is PHP veilig? De taal en de versie die je draait

Het PHP-project geeft elke PHP-versie vier jaar ondersteuning, en daarna lost het er geen beveiligingsproblemen meer in op. Of PHP veilig is voor je website, hangt dus minder af van de taal dan van de versie waarop je site draait, en of die is bijgewerkt. Deze gids is bijgewerkt tot 23 oktober 2026.

Is PHP zelf veilig?

De eigen handleiding van PHP is daar eerlijk over. Het hoofdstuk over beveiliging zegt dat PHP op een server bestanden kan openen, opdrachten kan uitvoeren en netwerkverbindingen kan maken, en dat alles wat op een webserver draait daardoor standaard onveilig is. Daarna staat er dat PHP met de juiste configuratie-opties en goede programmeergewoonten de combinatie van vrijheid en veiligheid kan geven die je nodig hebt.

De taal is dus gereedschap, en hoe veilig een site is, hangt af van hoe die is ingericht en bijgehouden. De handleiding zegt dat de veiligheid van een PHP-omgeving grotendeels bij de PHP-ontwikkelaar ligt. Bij een persoonlijke site is dat werk meestal verdeeld tussen jou, je hostingbedrijf en de maker van je websitesoftware, zoals WordPress. Weet je niet precies wat PHP op je site doet, dan begint onze gids wat is PHP? bij het begin.

Wat is het verschil tussen de taal en de versie die ik draai?

PHP bestaat uit reeksen, zoals 8.3 of 8.4, en elke reeks krijgt kleine genummerde releases met fixes, zoals 8.3.36. Vraag je je af of PHP veilig is, dan is de nuttige vraag of jouw reeks nog wordt ondersteund en of je de nieuwste release daarvan hebt.

De pagina met ondersteunde versies van PHP zegt dat elke reeks twee jaar volledig wordt ondersteund vanaf de eerste stabiele release, en daarna nog twee jaar fixes krijgt voor alleen kritieke beveiligingsproblemen. Na die vier jaar bereikt de reeks het einde van haar ondersteuning. Op 23 oktober 2026 noemt de pagina 8.2, 8.3, 8.4 en 8.5 als ondersteund, en de beveiligingsondersteuning voor 8.2 stopt op 31 december 2026. De volledige tabel staat op de pagina met ondersteunde versies van php.net.

Draait je site een oudere reeks, dan staat in onze gids over PHP 8.1 of ouder wat je kunt doen.

Waarom zijn beveiligingsupdates zo belangrijk?

Omdat een fout die is gevonden en opgelost, open blijft op elke server die de fix niet heeft geïnstalleerd. De pagina met ondersteunde versies van PHP zegt dat wie een release gebruikt die niet meer wordt ondersteund, zo snel mogelijk moet upgraden, omdat die kwetsbaar kan zijn voor beveiligingsproblemen die niet meer worden opgelost.

Het NCSC zegt over de PHP-kwetsbaarheden: wacht niet op signalen van misbruik, maar installeer de beschikbare beveiligingsupdates zo snel mogelijk. Voor apparaten thuis zegt de campagne "Doe je updates" op veiliginternetten.nl hetzelfde: krijg je een melding om een update te doen, doe het direct. In de richtlijn van het Britse NCSC voor organisaties is de norm dat updates zo snel mogelijk worden geïnstalleerd, en liefst automatisch.

Voor een website gaat de update meestal over PHP op de server, wat je hostingbedrijf kan beheren, en over de websitesoftware en plugins die daarop draaien. Het een bijwerken dekt het ander niet.

Wat laat PHP2Shell hierover zien?

Op 21 oktober 2026 loste het PHP-project twee kritieke kwetsbaarheden op, die volgens het Amerikaanse agentschap CISA bekendstaan als "php2shell", met nieuwe releases voor alleen de vier ondersteunde reeksen. Het advies zegt dat PHP 8.1 en ouder geen updates meer krijgen van het PHP-project, dus wie die versies gebruikt, is aangewezen op een teruggezette fix van een leverancier of op een overstap naar een ondersteunde reeks.

Twee dagen later, op 23 oktober, publiceerde PHP een informatief advies over een verwante, veel kleinere kwestie, CVE-2026-115560. PHP noemt het een onwaarschijnlijke route voor remote code execution die alleen optreedt bij een ongebruikelijke combinatie van configuratie en applicatiecode, en stelt voor session.upload_progress.enabled op 0 te zetten tot de volgende reguliere bugfix-release. Onze gids over de PHP-kwetsbaarheid behandelt beide.

Hoe weet ik of mijn site een ondersteunde, bijgewerkte versie draait?

Zoek de exacte PHP-versie van je site op en vergelijk die met de ondersteunde reeksen en de nieuwste herstelde release van die reeks. Vind je het nummer niet zelf, dan kan je hostingbedrijf het je vertellen.

Onze gids de PHP-versie van je website controleren laat zien waar je kijkt in WordPress en in een hostingpaneel, met de vragen voor je hostingbedrijf. Moet je van versie wisselen, dan helpt PHP updaten in WordPress, te beginnen met een back-up.

Meer vragen

Is PHP in 2026 nog veilig om te gebruiken?

Ja, op een ondersteunde en bijgewerkte versie. Op 23 oktober 2026 noemt de pagina met ondersteunde versies van PHP de reeksen 8.2, 8.3, 8.4 en 8.5. Reeksen ouder dan 8.2 worden niet meer ondersteund, en de pagina waarschuwt dat gebruikers daarvan kwetsbaar kunnen zijn voor problemen die niet meer worden opgelost.

Is PHP 8.2 veilig?

Volgens de pagina met ondersteunde versies van PHP stopt de beveiligingsondersteuning voor 8.2 op 31 december 2026. Onze gids over PHP 8.1 of ouder gaat ook over 8.2 en wat je moet plannen.

Loopt mijn computer risico als ik een PHP-website bezoek?

PHP draait op de webserver, niet op je apparaat, en het PHP2Shell-advies gaat over installaties die webverzoeken verwerken. Dat oplossen is de taak van de site-eigenaar. Onze gids kun je gehackt worden door een website te bezoeken? gaat over de kant van de bezoeker.

Is mijn website veilig als PHP is bijgewerkt?

Niet alleen daardoor. De PHP-handleiding zegt dat de veiligheid van een PHP-omgeving ook afhangt van de configuratie en van hoe de code is geschreven. Je websitesoftware, thema's en plugins hebben hun eigen updates nodig, en je hostingbedrijf is verantwoordelijk voor de server eromheen.

Wie werkt PHP bij op een gehoste website?

Vaak je hostingbedrijf, en soms jij via je hostingpaneel. Het NCSC zegt: beheer je je IT-omgeving niet zelf, neem dan contact op met je hostingpartij of IT-leverancier. Vraag je hostingbedrijf op welke versie je site draait en of die de herstelde release heeft.

Bronnen

• Supported versions, PHP (Engelstalig)
• Security: introduction, PHP Manual (Engelstalig)
• Security advisory van 21 oktober 2026 en informational advisory van 23 oktober 2026, PHP (Engelstalig)
• Update: PHP-kwetsbaarheden nog steeds reden om direct te patchen, NCSC
• Doe je updates, veiliginternetten.nl
• Vulnerability management guidance, NCSC (Engelstalig)
• Critical vulnerabilities in PHP require immediate patching, CISA (Engelstalig)