PHP updaten in WordPress na PHP2Shell

WindowsMacBijgewerkt

Je updatet PHP niet vanuit WordPress. PHP draait op de server van je hostingpartij, dus je wijzigt het in je hostingpaneel of vraagt je host het te doen. Na het PHP-beveiligingsadvies van 21 oktober 2026 heb je een herstelde versie nodig, en het PHP-project zegt dat updaten de enige volledige oplossing is. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Maak een back-up van je site en update daarna WordPress, thema's en plugins via Dashboard > Updates. Wijzig de PHP-versie in je hostingpaneel; in cPanel is dat de MultiPHP Manager. Controleer dan of de site werkt en of de nieuwe versie zichtbaar is onder Tools > Sitediagnose > Informatie > Server. Kun je hem niet zelf wijzigen, vraag het dan je hostingpartij.

Waarom moet PHP nu worden bijgewerkt?

Op 21 oktober 2026 bracht het PHP-project fixes uit voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, die CISA "php2shell" noemt. Volgens het NCSC kunnen ze zonder authenticatie op afstand worden misbruikt, en zijn alle PHP-installaties getroffen die webverzoeken verwerken. WordPress draait op PHP, dus een WordPress-site valt eronder, welke WordPress-versie hij ook heeft. Op veiliginternetten.nl noemt het NCSC WordPress als een van de bekende programma's die PHP gebruiken, en zijn advies van 23 oktober 2026 is: installeer de nieuwste PHP-updates zo snel mogelijk.

De lijst met herstelde versies en de manier om jouw versie te vinden staan in de PHP-versie van je website controleren. De kwetsbaarheden zelf leggen we uit in onze gids over de PHP-kwetsbaarheid.

Hoe maak ik een back-up van WordPress voordat ik PHP wijzig?

Maak een back-up van beide delen van je site. De back-upgids van WordPress legt uit dat de database je berichten en reacties bevat, en dat de bestanden al het andere bevatten: WordPress zelf, thema's, plugins, uploads en wp-config.php. Een back-up van de bestanden is geen back-up van de database, dus je hebt beide nodig.

  1. Kijk of je hostingpartij een back-uptool aanbiedt.
  2. Zo niet, gebruik dan een back-upplugin, of exporteer de database met phpMyAdmin en kopieer de bestanden via FTP.
  3. Bewaar kopieën op meer dan één plek. WordPress raadt minstens 3 tot 5 recente back-ups aan, op verschillende plekken, zoals je server, cloudopslag en je eigen computer.

De Nederlandse pagina "PHP updaten" van WordPress.org geeft de reden: met een back-up kun je je site terugzetten naar hoe hij nu is als er iets misgaat.

Hoe update ik eerst WordPress, thema's en plugins?

Volgens WordPress.org update je alles voordat je PHP wijzigt, en controleer je daarna of de site nog werkt zoals verwacht.

  1. Ga in je WordPress-dashboard naar Dashboard > Updates.
  2. Staat er een nieuwe WordPress-versie klaar, klik dan op de knop om naar die versie te updaten.
  3. Update de plugins en thema's waarvoor een update klaarstaat.
  4. Bezoek je site en klik door de pagina's die er het meest toe doen, zoals de winkel of het contactformulier.

Om te controleren of je thema's en plugins klaar zijn voor een nieuwere PHP-versie, noemt WordPress.org de plugin PHP Compatibility Checker. Het schrijft er ook bij dat die niet perfect is en items kan missen of valse positieven kan markeren. Meldt de plugin een probleem, neem dan contact op met de ontwikkelaar van het thema of de plugin, of kies een alternatief met vergelijkbare functies.

Hoe wijzig ik de PHP-versie in cPanel?

De documentatie van cPanel beschrijft de MultiPHP Manager, waarmee je per domein de PHP-versie instelt. cPanel plaatst de tool onder Software.

  1. Log in op cPanel en open MultiPHP Manager.
  2. Vink het domein aan dat je wilt wijzigen.
  3. Kies een versie in het menu PHP Version.
  4. Klik op Apply.

cPanel zegt dat het menu alleen versies toont die op de server zijn geïnstalleerd en voor jouw account beschikbaar zijn, en dat de serverbeheerder ze installeert. Welke precieze versie je binnen een reeks krijgt, hangt dus af van je hostingpartij. Daarom is controleren achteraf belangrijk.

Sommige hostingpartijen gebruiken een ander paneel. WordPress.org verwijst naar een lijst hostingbedrijven met eigen instructies, en raadt aan je host te mailen als die er niet tussen staat. Het geeft daar ook een voorbeeldtekst voor.

Hoe controleer ik de site na de PHP-update?

Controleer eerst de versie, daarna de site zelf.

  1. Ga in WordPress naar Tools > Sitediagnose, klik op het tabblad Informatie en klap Server uit.
  2. Scroll naar PHP versie en controleer of het een herstelde versie is.
  3. Bezoek de belangrijkste pagina's van je site, en log in en uit op het dashboard.
  4. Ga terug naar Tools > Sitediagnose en kijk op het tabblad Status of er nieuwe kritieke problemen zijn.

Gaat er iets mis, dan kun je volgens WordPress.org de PHP-versie zelf terugzetten, of contact opnemen met je hostingpartij of een webontwikkelaar. Moet je een back-up terugzetten, vraag dan eerst je host om de vorige PHP-versie terug te zetten. Daarna zet je de back-up terug.

Wanneer vraag ik het beter aan mijn hostingpartij?

Vraag het je host in een van deze gevallen:

  1. Het domein toont "Inherited" in MultiPHP Manager. cPanel zegt dat het dan de standaardversie van de server gebruikt, die alleen de serverbeheerder kan instellen.
  2. De versie die je nodig hebt staat niet in het menu. cPanel zegt dat versies alleen verschijnen als de beheerder ze heeft geïnstalleerd.
  3. Je kunt nergens een PHP-instelling vinden, of je hosting wordt voor je beheerd.
  4. Je site draait op PHP 8.1 of ouder. Het PHP-project ondersteunt die niet meer regulier. Sommige leveranciers bieden teruggezette fixes. Vraag je host of die zijn toegepast, of stap over op een ondersteunde versie.

Het PHP-advies noemt tijdelijke maatregelen, maar zegt dat ze een installatie niet veilig maken. Het NCSC adviseert systemen die nog kwetsbaar zijn uit voorzorg offline te houden tot de updates zijn doorgevoerd. Bij gedeelde hosting vraag je dus om de update zelf.

Meer vragen

Kan ik PHP updaten vanuit het WordPress-dashboard?

Nee. WordPress.org schrijft dat PHP op de server van je site staat, en dat je het via de instellingen van je host wijzigt of je provider vraagt het te doen. Het dashboard toont je versie onder Tools > Sitediagnose > Informatie > Server, maar de wijziging zelf gebeurt op de server.

Welke PHP-versie moet WordPress gebruiken?

WordPress.org raadt momenteel PHP 8.3 of hoger aan. Kies binnen die reeks de herstelde versie uit het PHP-advies. De pagina met ondersteunde versies van PHP laat zien dat 8.2 alleen tot 31 december 2026 beveiligingsupdates krijgt.

Kan een PHP-update mijn WordPress-site breken?

Dat kan, als een thema of plugin niet klaar is voor de nieuwere versie. WordPress.org schrijft dat WordPress zelf met PHP vanaf 7.4 werkt, maar dat het niet weet of je thema's en plugins op nieuwere versies werken. Daarom maak je eerst een back-up en update je alles. Gaat er iets mis, zet de versie dan terug of vraag je host om hulp.

Is WordPress updaten genoeg tegen PHP2Shell?

Nee. De kwetsbaarheden zitten in PHP, niet in WordPress. WordPress, thema's en plugins bijwerken hoort bij de voorbereiding, maar volgens het PHP-advies is alleen een PHP-update een volledige oplossing.

Wat als mijn site misschien al is aangepast?

Het Belgische CCB schrijft dat een update toekomstig misbruik kan tegenhouden, maar een eerdere inbraak niet herstelt. Onze gids website gehackt: wat nu? zet de eerste stappen voor een persoonlijke site op een rij.

Bronnen