Wat is PHP, en waarom doet een PHP-lek ertoe als je nooit code schrijft?

WindowsMacBijgewerkt

PHP is een programmeertaal om websites mee te bouwen. Het PHP-project omschrijft het als een veelgebruikte, open source scripttaal voor algemeen gebruik die vooral geschikt is voor webontwikkeling. PHP draait op de computer die een webpagina verstuurt, de server, en niet op de telefoon of laptop waarop jij de pagina leest. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

PHP is een open source taal waarin veel websites zijn geschreven. De code draait op de server van de website, die elke pagina opbouwt en het resultaat naar je browser stuurt. Daarom is een fout in PHP een probleem voor wie websites beheert, en zit de oplossing in een update op de server, niet op je eigen apparaat.

Waar wordt PHP voor gebruikt?

Vooral voor webpagina's die veranderen. Een gewone webpagina is een vast bestand. Een PHP-pagina is een klein programma dat de pagina schrijft op het moment dat je erom vraagt, zodat die je winkelmandje, je account of de nieuwste berichten kan tonen.

De PHP-handleiding zegt dat de taal vooral gericht is op scripts aan de serverkant, en geeft voorbeelden: formuliergegevens verzamelen, de inhoud van een pagina maken op het moment dat die wordt opgevraagd, en cookies versturen en ontvangen. De voorpagina van php.net zegt het breder: PHP drijft alles aan, van je blog tot de populairste websites ter wereld.

Je komt PHP ook tegen zonder de naam te zien. WordPress schrijft dat PHP een van de programmeertalen is waarop WordPress gebouwd is. Op veiliginternetten.nl noemde het Nationaal Cyber Security Centrum (NCSC) ook Joomla, Drupal, Zabbix en Roundcube als bekende software die PHP gebruikt. De PHP-handleiding voegt toe dat PHP ook los als opdrachtregelprogramma kan draaien, voor geplande scripts en eenvoudige tekstverwerking.

Wat betekent "aan de serverkant" voor een website en haar bezoekers?

Dat het werk op de computer van de website gebeurt voordat er iets bij jou aankomt. De PHP-handleiding legt het verschil uit met JavaScript, dat in je browser draait: bij PHP wordt de code op de server uitgevoerd, die HTML maakt en die naar de client stuurt. De client is je browser.

Open je een pagina op een PHP-site, dan voert de server de PHP uit, maakt een gewone webpagina en stuurt jou die pagina. Volgens de handleiding krijgt de client het resultaat van het script, maar weet hij niet wat de onderliggende code was. Ook kan een server zo worden ingesteld dat gebruikers op geen enkele manier kunnen zien dat er PHP wordt gebruikt.

Voor een bezoeker betekent dat twee dingen. Je hebt geen PHP nodig om een PHP-website te gebruiken, en je kunt meestal niet zien of een site het gebruikt.

Waarom raakt één fout in PHP zoveel sites?

Omdat elke site die PHP gebruikt dezelfde kernsoftware draait. Een fout in die kern zit dus in al die sites, tot elk ervan is bijgewerkt. Op 21 oktober 2026 maakte het PHP-project twee kritieke kwetsbaarheden bekend, CVE-2026-109618 en CVE-2026-109619, en schreef dat alle PHP-installaties die webverzoeken verwerken risico lopen. Het NCSC noemt PHP een veelgebruikte programmeertaal voor websites en webapplicaties, en het Britse NCSC schreef dat organisaties die welke PHP-versie dan ook gebruiken, getroffen zijn.

Geen van de officiële bronnen voor deze gids geeft een aantal of percentage websites dat PHP gebruikt, dus dat geven wij ook niet. Wel zeggen ze dat PHP wijdverbreid is en soms lastig te herkennen. Het Amerikaanse agentschap CISA schrijft dat PHP vaak een onderdeel is van andere software en dat de verspreiding niet altijd direct zichtbaar is. Het NCSC schrijft op GitHub dat PHP ook is ingebouwd in apparaten, netwerkapparatuur, beheerinterfaces en andere producten van leveranciers. En WordPress schrijft: "Omdat PHP zo populair is, is het een doelwit voor hackers."

De fouten zelf, hoe ernstig ze zijn en welke versies ze oplossen, staan in onze gids over de PHP-kwetsbaarheid.

Waarom draait de PHP van een site niet op mijn eigen apparaat?

Omdat PHP draait waar de website staat. Je browser vraagt de server om een pagina, de server voert zijn PHP uit, en jij krijgt de afgewerkte pagina terug, in HTML. Het PHP-advies van 21 oktober noemt serveropstellingen als de plekken die risico lopen, zoals PHP-FPM, Apache met mod_php en LiteSpeed, die allemaal op webservers draaien.

Een site bezoeken die een oude of ongepatchte PHP-versie draait, zet die PHP niet op je telefoon of laptop. Het risico voor bezoekers is anders: als aanvallers een site overnemen, kunnen ze veranderen wat die site je laat zien. Onze gids kun je gehackt worden door een website te bezoeken? laat zien hoe dat eruitziet en waar je op let.

De enige uitzondering is als je PHP zelf hebt geïnstalleerd, bijvoorbeeld om websites te bouwen of te testen op je eigen computer. Dan heb je een kopie die je moet bijwerken, net als andere software.

Wat betekent een PHP-kwetsbaarheid, simpel gezegd?

Een kwetsbaarheid is een zwakke plek in software waarmee iemand die software iets kan laten doen wat niet de bedoeling is. Het PHP-project schrijft dat de kwetsbaarheden van oktober 2026 remote code execution zonder authenticatie mogelijk kunnen maken. Het NCSC schrijft dat misbruik ertoe kan leiden dat aanvallers op afstand systemen overnemen. In gewone taal: iemand zou een server zijn eigen opdrachten kunnen laten uitvoeren zonder eerst in te loggen.

Het antwoord van het PHP-project is updaten. De releasenotes zeggen dat er geen volledige tijdelijke oplossing bestaat en dat updaten de enige veilige keuze is. Beheer je een website, dan is de eerste stap uitzoeken welke versie die draait: de PHP-versie van je website controleren laat zien waar je kijkt en welke versies de fix bevatten.

Meer vragen

Is PHP een virus of een programma op mijn computer?

Nee. PHP is een programmeertaal en de software die die taal uitvoert, geen malware. Het draait op de servers waar websites op staan. Wil je weten of je eigen computer een kopie heeft, dan laat onze gids heb ik PHP geïnstalleerd? zien welke ene opdracht je typt.

Waar staat PHP voor?

De PHP-handleiding zegt dat de naam een recursief acroniem is voor "PHP: Hypertext Preprocessor". Recursief betekent dat het eerste woord van de uitleg de naam zelf is. "Preprocessor" past bij wat het doet: het bewerkt een pagina voordat die naar je browser gaat.

Wie bepaalt welke PHP-versie mijn website gebruikt?

Meestal je hostingbedrijf. WordPress schrijft dat je hostingbedrijf bepaalt welke versies van PHP beschikbaar zijn voor je site, en dat veel hosters je dit zelf laten veranderen. Onze gids de PHP-versie van je website controleren laat zien waar je kijkt.

Kan ik zien of een website PHP gebruikt?

Vaak niet. De PHP-handleiding zegt dat een server zo kan worden ingesteld dat gebruikers op geen enkele manier kunnen zien dat er PHP wordt gebruikt. Beheer je de site zelf, dan vertelt je hostingpaneel of je hostingbedrijf je de versie.

Is PHP veilig om te gebruiken?

Dat hangt af van de versie die een site draait: ondersteunde versies krijgen beveiligingsfixes, versies voorbij het einde van hun ondersteuning niet. Onze gids is PHP veilig? legt uit hoe de ondersteuning van PHP werkt.

Bronnen