Draai je PHP 8.1 of ouder? Je opties na PHP2Shell

WindowsMacBijgewerkt 2026-10-23

PHP 8.1 bereikte op 31 december 2025 het einde van zijn ondersteuning, volgens de lijst van niet-ondersteunde reeksen van het PHP-project, en de laatste release was 8.1.34. Toen het project op 21 oktober 2026 twee kritieke kwetsbaarheden oploste, kwam er geen nieuwe versie voor 8.1 of ouder. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Op 23 oktober 2026 krijgen alleen PHP 8.2, 8.3, 8.4 en 8.5 nog beveiligingsfixes, en voor 8.2 stopt dat op 31 december 2026. Draait je site op 8.1 of ouder, vraag je hostingbedrijf dan of er een teruggezette fix is toegepast, werk je CMS en plugins bij en stap daarna over op een ondersteunde versie.

Welke PHP-versies krijgen nog beveiligingsfixes?

De pagina met ondersteunde versies van het PHP-project noemt vier reeksen. Elke reeks wordt twee jaar volledig ondersteund vanaf de eerste stabiele release, en daarna nog twee jaar alleen voor kritieke beveiligingsproblemen. Daarna bereikt de reeks volgens de pagina het einde van haar levensduur en wordt ze niet meer ondersteund.

Reeks	Volledige ondersteuning tot	Beveiligingsfixes tot
8.2	31 dec 2024	31 dec 2026
8.3	31 dec 2025	31 dec 2027
8.4	31 dec 2026	31 dec 2028
8.5	31 dec 2027	31 dec 2029

Wanneer stopte de ondersteuning voor PHP 8.1, 8.0 en 7.4?

De pagina van het PHP-project met niet-ondersteunde reeksen geeft deze datums en laatste releases:

PHP 8.1: 31 december 2025, laatste release 8.1.34
PHP 8.0: 26 november 2023, laatste release 8.0.30
PHP 7.4: 28 november 2022, laatste release 7.4.33

Op de pagina met ondersteunde versies staat wat dat betekent: wie een release gebruikt die het einde van haar ondersteuning heeft bereikt, moet zo snel mogelijk upgraden, omdat die gebruikers kwetsbaar kunnen zijn voor beveiligingsproblemen die niet meer worden opgelost.

Wat zegt het advies van 21 oktober over oude versies?

Het PHP-advies zegt dat PHP 8.1 en ouder geen updates meer krijgen van het PHP-project. Sommige distributies en LTS-leveranciers bieden teruggezette fixes aan, dus vraag je leverancier om details, of upgrade naar een ondersteunde versie. LTS staat voor long-term support, langdurige ondersteuning, en een teruggezette fix (een backport) is de beveiligingsreparatie die op een oudere versie wordt aangebracht.

Het advies zegt ook dat het beveiligingsteam van PHP, gezien de ernst van de kwetsbaarheden, minimale broncodepatches publiceerde voor PHP 7.4, 8.0 en 8.1, bedoeld voor wie PHP zelf uit de broncode bouwt of geen LTS-leverancier heeft. Het NCSC schrijft hetzelfde: PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund, en voor 7.4, 8.0 en 8.1 zijn er wel minimale broncodepatches. Er staat geen nieuwe release voor 7.4, 8.0 of 8.1 in het advies.

De herstelde releases voor de ondersteunde reeksen zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De PHP-versie van je website controleren laat zien hoe je de jouwe vindt en vergelijkt.

Het NCSC adviseerde op 22 oktober om systemen die nog kwetsbaar zijn uit voorzorg offline te houden totdat de updates zijn doorgevoerd. Het Amerikaanse agentschap CISA is directer over oude versies: organisaties die niet meteen kunnen updaten, of die PHP 8.1 of ouder blijven gebruiken, moeten hun PHP-systemen offline halen tot ze zijn bijgewerkt.

Is PHP 8.2 veilig, en wanneer stopt het?

PHP 8.2.35 is de herstelde release voor de 8.2-reeks. De releasemelding op php.net voegt een waarschuwing toe: PHP 8.2 bereikt op 31 december 2026 het einde van zijn ondersteuning en krijgt daarna geen beveiligingsfixes meer, dus plan je upgrade naar een ondersteunde versie.

Een site op 8.2.35 heeft dus de fix voor de twee kwetsbaarheden van 21 oktober, maar nog ongeveer tien weken beveiligingsfixes van het project. Stap je nu over van 8.1, dan bespaar je jezelf een tweede overstap door meteen naar 8.3 of nieuwer te gaan. WordPress raadt zelf PHP 8.3 of hoger aan.

Wat zijn mijn opties als mijn site een oude versie draait?

Bij een blog, clubsite of kleine webwinkel is het werk meestal verdeeld tussen jou en je hostingbedrijf.

Stel je hostingbedrijf twee vragen. Op welke PHP-versie draait mijn site? En als het 8.1 of ouder is: is er een teruggezette fix voor CVE-2026-109618 en CVE-2026-109619 toegepast? Het PHP-advies verwijst mensen met oude versies naar hun leverancier. Bij een gehoste site is dat je hostingbedrijf. Het NCSC zegt ook: beheer je je IT niet zelf, neem dan contact op met je hostingpartij of IT-leverancier.
Maak de site klaar voor de overstap. WordPress raadt aan eerst een back-up te maken, dan WordPress, thema's en plugins bij te werken via Dashboard > Updates, en te controleren of de site nog werkt. WordPress schrijft dat het zelf werkt met PHP vanaf versie 7.4, "maar we weten niet of je thema's of plugins werken op nieuwere versies". Onze gids PHP updaten in WordPress loopt deze stappen op volgorde door. Gebruik je een ander CMS, kijk dan in de documentatie daarvan welke PHP-versies het ondersteunt.
Stap over op een ondersteunde versie. Is de site bijgewerkt, vraag dan je hostingbedrijf om over te schakelen, of doe het zelf als je paneel dat toelaat. Het Britse NCSC raadt organisaties met oudere PHP-versies sterk aan te updaten naar een volledig ondersteunde versie.

Lukt geen van deze stappen snel, dan is het advies van het NCSC en CISA hierboven om het systeem offline te houden tot het is bijgewerkt.

Wat zegt het Britse NCSC over software die niet meer wordt ondersteund?

De richtlijn van het Britse NCSC over verouderde producten begint met het punt dat alle software, ook besturingssystemen van apparaten, ooit verouderd raakt. Als ontwikkelaars stoppen met beveiligingsupdates, wordt het volgens het NCSC waarschijnlijker dat misbruikbare kwetsbaarheden bekend worden bij aanvallers, en kunnen nieuwe kwetsbaarheden na verloop van tijd worden misbruikt door aanvallers met relatief weinig kennis.

Het standpunt is duidelijk: de enige volledig effectieve manier om dit risico te beperken is stoppen met het verouderde product. Het NCSC erkent dat dat niet altijd meteen kan, en raadt dan aan te upgraden in plaats van met het risico door te gaan. Ga je toch even door, dan moet je die beslissing regelmatig opnieuw bekijken. Voor een website op PHP 8.1 of ouder komt dat neer op hetzelfde antwoord als dat van het PHP-project: een ondersteunde versie.

Meer vragen

Is PHP 7.4 getroffen door PHP2Shell?

Het Britse NCSC zegt dat organisaties die welke PHP-versie dan ook gebruiken, getroffen zijn, en het PHP-beveiligingsteam publiceerde vanwege de ernst een minimale broncodepatch voor 7.4. Er is geen nieuwe officiële 7.4-release. Vraag je hostingbedrijf of er een teruggezette fix is toegepast, en plan de overstap naar een ondersteunde versie.

Mijn hostingbedrijf zegt dat het de fix naar PHP 8.1 heeft teruggezet. Is dat genoeg?

Het PHP-advies zegt dat sommige distributies en LTS-leveranciers teruggezette fixes bieden en dat je dat bij hen navraagt, dus je hostingbedrijf moet het bevestigen. De reeks blijft wel voorbij het einde van haar ondersteuning, en de richtlijn van het Britse NCSC over verouderde producten raadt aan te upgraden in plaats van met het risico door te gaan.

Gaat mijn site stuk als ik naar een nieuwere PHP-versie overstap?

Dat kan, en daarom is de volgorde belangrijk. WordPress schrijft dat het updaten van je PHP-versie geen probleem zou moeten zijn, "maar we kunnen niet garanderen dat dit niet het geval is", en vraagt je eerst een back-up te maken en thema's en plugins bij te werken. Om die back-up terug te zetten, moet je hostingbedrijf ook je PHP-versie terugzetten naar de huidige.

Wat gebeurt er met PHP 8.2 na 31 december 2026?

Het PHP-project zegt dat 8.2 na die datum geen beveiligingsfixes meer krijgt en vraagt gebruikers een upgrade naar een ondersteunde versie te plannen. Een site op 8.2 hoort dan, net als 8.1 en ouder, bij de niet-ondersteunde versies.