budgetWat is er aan de hand?
PHP is software die achter de schermen op veel websites draait. Bij PHP2Shell gaat het om twee ernstige fouten in die software, met de namen CVE-2026-109618 en CVE-2026-109619. Onder bepaalde omstandigheden kunnen aanvallers daardoor code uitvoeren op een kwetsbare webserver, zonder vooraf in te loggen.
De makers van PHP hebben op 21 oktober noodupdates beschikbaar gesteld. Het gaat dus niet automatisch om een fout van uw webbouwer of een slecht WordPress-thema. Het probleem zit in de software die uw server gebruikt.
Gisteren nog up-to-date. Vandaag toch kwetsbaar?
Ja. Een WordPress-website kan gisteren volledig bijgewerkt zijn en vandaag toch kwetsbaar blijken. De nieuwe lekken zitten namelijk in PHP, de software op de webserver, niet noodzakelijk in WordPress zelf. Een actuele WordPress-versie of recente plug-inupdates zeggen dus nog niet of deze nieuwe PHP-beveiligingsupdates geïnstalleerd zijn.
Dat is ook voor bezoekers belangrijk. Als criminelen een kwetsbare website daadwerkelijk overnemen, kunnen zij bezoekers bijvoorbeeld naar frauduleuze pagina’s doorsturen, misleidende betaalinformatie tonen of toegang krijgen tot klantgegevens. Een bezoek aan een kwetsbare website betekent niet automatisch dat uw toestel gehackt wordt, maar het risico is niet beperkt tot de eigenaar van de website.
Welke websites kunnen ermee te maken hebben?
WordPress, WooCommerce, Joomla, Drupal, PrestaShop en Magento (Adobe Commerce) gebruiken doorgaans PHP. Gebruikt u zo’n systeem, dan is het verstandig te laten nagaan of uw hostingomgeving is bijgewerkt.
Niet iedere website met deze systemen is kwetsbaar of gehackt. De werkelijke situatie hangt af van de gebruikte PHP-versie, eventuele beveiligingsupdates van de hostingprovider en de serverconfiguratie.
Wat kan dat voor uw klanten en uw zaak betekenen?
Een geslaagde aanval kan ervoor zorgen dat uw website of webshop niet meer bereikbaar is. Klanten kunnen dan mogelijk geen informatie vinden, een afspraak aanvragen of een bestelling plaatsen.
Afhankelijk van de toegangsrechten op de server kan een aanvaller ook inhoud aanpassen, bezoekers naar een verkeerde website leiden of gegevens proberen te bemachtigen. Dit zijn mogelijke gevolgen, geen aanwijzing dat uw eigen website al is aangevallen.
Wat moet u vandaag doen?
Vraag uw hostingprovider of webontwikkelaar: “Is de PHP-omgeving van mijn website bijgewerkt tegen PHP2Shell, de kwetsbaarheden van 21 oktober 2026?” U hoeft het probleem niet zelf technisch op te lossen.
Laat de benodigde beveiligingsupdate installeren en controleer daarna of uw website, formulieren en eventueel uw webshop nog werken. Alleen WordPress of de plug-ins bijwerken lost deze kwetsbaarheden in de onderliggende PHP-software niet op.
En hoe zit dat bij BudgetWebsite?
Bij BudgetWebsite.be gebruiken we geen PHP, niet voor onze eigen website en ook niet voor de websites die we voor onze klanten bouwen. De specifieke PHP2Shell-kwetsbaarheden zijn daarom niet van toepassing op die websites.
Dat is geen garantie dat een website nooit een beveiligingsprobleem krijgt: elke technologie vraagt onderhoud. We vinden vooral dat ondernemers mogen verwachten dat hun website degelijk wordt gebouwd en opgevolgd, zonder dat ze zelf webspecialist hoeven te zijn.
Moet u daarom weg van WordPress?
Nee. WordPress kan een goede keuze zijn, zolang de hosting en de software correct onderhouden worden. Dit incident toont vooral hoe belangrijk het is te weten wie de noodzakelijke updates uitvoert.
U hoeft geen programmeur te zijn. U moet wel weten bij wie u terechtkunt wanneer er een dringende beveiligingsmelding komt.
Praktische checklist
- ✓ Ga na of uw website WordPress, WooCommerce of een ander PHP-systeem gebruikt.
- ✓ Vraag of uw hostingprovider de PHP2Shell-beveiligingsupdates heeft geïnstalleerd.
- ✓ Laat zo nodig de PHP-software op de server bijwerken, niet alleen uw plug-ins.
- ✓ Controleer na een update uw contactformulier en eventuele webshop.
- ✓ Bij vermoedens van misbruik: laat ook nagaan of er al schadelijke wijzigingen zijn aangebracht.
Verder lezen bij de bron
PHP Group: officiële beveiligingsupdates
Officiële PHP-website met de noodupdates van 21 oktober 2026.
PHP-beveiligingsmelding CVE-2026-109618
Technische melding van de makers van PHP.
PHP-beveiligingsmelding CVE-2026-109619
Technische melding van de makers van PHP.