PHP-lek PHP2Shell: wat er op 21 oktober gebeurde en waarom updaten moet
Geschreven door Michael, 6 minuten leestijd,
Woensdag 21 oktober 2026 was een dag die veel ondernemers niet snel vergeten. Websites van de Tweede Kamer, Tweakers, MijnOverheid en meerdere ziekenhuizen gingen uit voorzorg offline. De reden: een ernstig lek in PHP, de programmeertaal waar een groot deel van het internet op draait. In deze blog leg ik in gewone taal uit wat er aan de hand was, hoe de dag verliep en waarom je hier als ondernemer echt iets mee moet.
Wat is PHP eigenlijk?
PHP is de motor onder de motorkap van heel veel websites. WordPress draait erop, net als webshops in Magento en WooCommerce, en systemen als Drupal, Joomla, Nextcloud en Laravel-applicaties. Heb je een website of webapplicatie die niet speciaal op iets anders is gebouwd, dan is de kans groot dat er PHP op je server draait. Je ziet het als bezoeker nooit, maar het is wel het stuk software dat elke pagina in elkaar zet.
Wat was het lek, in begrijpelijke taal?
Onderzoekers vonden twee fouten in PHP zelf, bekend als CVE-2026-109618 en CVE-2026-109619. Samen kregen ze de bijnaam PHP2Shell. Ze kregen een ernstscore van 9,2 op 10. Dat is kritiek.
Kort gezegd: als je PHP met een slim samengesteld verzoek zo ver krijgt dat het geheugen volloopt, ruimt PHP daarna niet netjes op. Er blijven stukjes oude gegevens hangen die een volgend verzoek weer oppikt. Een aanvaller kan daar misbruik van maken om eigen code op de server uit te voeren. Zonder in te loggen en zonder dat jij iets merkt. Bij een van de twee lekken kon bovendien gevoelige informatie, zoals wachtwoorden of sleutels, uitlekken via een cookie.
Het vervelende: de fout zit niet in een plugin of thema, maar in PHP zelf. Daarom maakte het niet uit hoe netjes je WordPress of webshop was bijgehouden. Volgens onderzoekers van Sansec gaat het probleem terug tot PHP 5.4, een versie uit 2012.
De dag op een rij
Alle tijden zijn Nederlandse tijd.
Dinsdag 20 oktober: het lekt uit
De bedoeling was dat de details pas op 22 oktober naar buiten kwamen, als er al een oplossing klaarstond. Zo gaat dat normaal bij ernstige lekken. Maar de nummers van de kwetsbaarheden doken dinsdag al op op Hacker News en social media. Het PHP-team besloot daarop de update naar voren te halen, naar woensdag 16:00 uur. Het Europese cybersecurityteam CERT-EU waarschuwde organisaties om klaar te staan.
Woensdag 05:00: de aankondiging
Op php.net verscheen de officiele aankondiging: om 16:00 uur volgen de updates en de details.
Woensdag 09:43: de eerste aanvallen
Cloudflare, een bedrijf dat een groot deel van het internetverkeer beschermt, zag de eerste aanvallen op PHP-websites en zette direct extra firewallregels aan. Het lek was dus al in gebruik voordat er een oplossing bestond.
Woensdagochtend: Nederland gaat op slot
Diverse Nederlandse organisaties haalden hun sites uit voorzorg offline. Volgens de NOS en andere media ging het onder meer om MijnOverheid, de Tweede Kamer, het Nationaal Cyber Security Centrum, de Autoriteit Persoonsgegevens, NotuBiz-portalen van gemeenten, Tweakers en websites van meerdere ziekenhuizen, waaronder Maastricht UMC+ en het Jeroen Bosch Ziekenhuis. Beveiligingsbedrijf Eye Security adviseerde organisaties hetzelfde te doen tot de update er was.
Woensdag 10:44: aanvallen op WordPress
Een hostingpartij zag aanvallers een openbaar gedeelde aanvalscode inzetten tegen WordPress-sites. Rond het middaguur begonnen geautomatiseerde scanners het internet af te zoeken naar kwetsbare websites. Dat is het moment waarop het niet meer uitmaakt hoe groot of klein je bent: een scanner kiest niet, die probeert gewoon alles.
Woensdag 13:55: alleen updaten helpt
Een ontwikkelaar uit het PHP-kernteam zei het publiek zonder omwegen: de enige echte oplossing is PHP updaten. Instellingen aanpassen of een extra firewall zijn hooguit een pleister.
Woensdag rond 16:00: de updates zijn er
PHP bracht de gerepareerde versies uit: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Wie een van die versies (of nieuwer) draait en PHP daarna opnieuw heeft opgestart, is beschermd tegen dit lek.
Draai je een oude PHP-versie? Dan is er geen oplossing
Dit is het deel dat de meeste ondernemers zal verrassen. PHP 8.1 en ouder worden niet meer onderhouden. Voor die versies verschijnt er geen officiele update. Een website op PHP 7.4 of 8.0 blijft dus kwetsbaar, ook na vandaag. De enige weg is overstappen naar PHP 8.2 of nieuwer.
En dat is precies waar het vaak misgaat. Een site die jaren geleden is gebouwd en daarna nooit meer is aangeraakt, draait bijna altijd op een oude versie. Overstappen kan dan niet met een druk op de knop, omdat oude plugins of maatwerkcode niet altijd met een nieuwe PHP-versie overweg kunnen. Wie achterstallig onderhoud heeft, moet op zo'n dag dus eerst dat inhalen. En dat kost tijd die je op dat moment niet hebt.
Waarom updaten zo belangrijk is
PHP2Shell laat in een dag zien hoe snel het kan gaan. Tussen het uitlekken en de eerste aanvallen zat nog geen dag. Tussen de update en de grootschalige scans soms maar minuten. Daar zitten drie lessen in.
- Updaten is geen klusje voor later. Software wordt continu verbeterd, ook op plekken die je niet ziet. Elke update die je laat liggen, is een deur die openstaat.
- Het hele stapelhuis telt. WordPress en plugins updaten is goed, maar daaronder zitten PHP, de webserver en het besturingssysteem. Dit lek zat in die onderste laag. Dat is precies waarom goede hosting meer is dan een plek om je website neer te zetten.
- Wie bijblijft, is snel klaar. Een site die al op een recente PHP-versie draait, is na een update en een herstart beschermd. Een site die drie versies achterloopt, heeft eerst een project nodig. Bij een lek als dit is dat het verschil tussen een uur en een week.
Een gehackte website is bovendien meer dan een technisch probleem. Klantgegevens kunnen op straat liggen, Google kan je site als onveilig markeren en je verliest het vertrouwen van bezoekers dat je met je merk hebt opgebouwd. Onder de AVG moet je een datalek daarnaast melden bij de Autoriteit Persoonsgegevens.
Wat moet je nu doen?
- Check je PHP-versie. Dat staat meestal in het controlepaneel van je hostingpartij, of vraag het na bij je bouwer.
- Draai je 8.2 of nieuwer? Zorg dat je minimaal op 8.5.12, 8.4.27, 8.3.36 of 8.2.35 zit en dat PHP (PHP-FPM of Apache) daarna opnieuw is opgestart, zoals het NCSC ook adviseert.
- Draai je 8.1 of ouder? Plan zo snel mogelijk een overstap. Tot die tijd loop je risico.
- Controleer op sporen. Zie je onbekende beheerders, vreemde bestanden of rare doorverwijzingen? Laat je site dan nakijken.
- Regel het structureel. Spreek af wie je updates bijhoudt, hoe snel er gereageerd wordt bij een kritiek lek en wie je belt als het misgaat. Dat leg je vast in een SLA.
Hoe wij de dag hebben aangepakt
Ook bij ons ging het woensdag alle hens aan dek. We hebben per server een afweging gemaakt tussen veiligheid en bereikbaarheid:
- Een server hebben we volledig offline gehaald zodat we hem in alle rust konden patchen, zonder dat er in de tussentijd iemand binnen kon komen.
- Een andere server hebben we online gelaten, maar met beperkingen. We hebben de toegang zo ver dichtgezet dat de bekende aanvalsroutes werden geblokkeerd, terwijl de websites gewoon bereikbaar bleven voor bezoekers.
- Op verzoek van klanten hebben we sommige sites tijdelijk offline gehaald. Voor een webshop of een site met klantgegevens kan een paar uur onbereikbaar zijn de veiligste keuze. Die keuze maak je samen, en dat hebben we ook gedaan.
Dat we die afweging per server en per klant konden maken, komt doordat we precies weten wat er waar draait en op welke versie. Dat is geen toeval, maar het resultaat van structureel onderhoud.
Zo houden wij dit bij
Bij Zeker Zichtbaar bouwen we niet alleen websites, webapplicaties en maatwerksoftware, we houden ze ook bij. Met onze hosting en een SLA draaien je site en de servers eronder op ondersteunde versies, worden updates op tijd geinstalleerd en kijken we mee als er een lek als PHP2Shell langskomt. Ook de koppelingen met andere systemen, zoals je CRM of boekhouding via API-koppelingen, nemen we daarin mee. Want een website is nooit af. Hij moet blijven werken, veilig blijven en vindbaar blijven.
Twijfel je of jouw website veilig is, of weet je niet eens op welke PHP-versie hij draait? Neem contact met ons op. We kijken graag even met je mee. Benieuwd wat we nog meer doen? Bekijk onze slimme automatiseringen, onze cases of lees meer over ons. En op onze blogs lees je bijvoorbeeld ook over de nieuwe spelregels voor AI.
