Kritiek PHP-lek: wat betekent dit voor jouw website?

Het nieuws staat er vol van: een kritiek PHP-lek bedreigt miljoenen websites. Klinkt technisch, maar de kern is simpel. Als jouw website op PHP draait, moet er snel iets gebeuren. Draait hij op iets anders, dan heb je met dit lek niets te maken. Wij bouwen onze websites op Base44, en dat gebruikt geen PHP. In dit artikel leggen we het in gewone taal uit, zonder gedoe.

Inhoudsopgave

1. Wat is PHP en wat is er aan de hand?
2. Welke websites worden geraakt?
3. Waarom onze websites er niet door geraakt worden
4. Zelf beheren of laten beheren: het verschil
5. Wat moet je nu doen?
6. Overstappen naar een veilige website
7. Veelgestelde vragen
8. Conclusie

Wat is PHP en wat is er aan de hand?

PHP is een programmeertaal die al meer dan twintig jaar op webservers draait. Het zorgt ervoor dat een website zijn pagina's opbouwt, bijvoorbeeld wanneer je iets bestelt of een formulier invult. Veel bekende websitesystemen zijn erop gebouwd.

Op 20 oktober 2026 kondigden de makers van PHP aan dat ze twee kritieke kwetsbaarheden gaan oplossen. Beide krijgen een risicoscore van 9,2 op een schaal van 10. De oplossing staat gepland voor woensdag 21 oktober 2026 om 14:00 UTC, dat is 16:00 CEST. Je leest het in de aankondiging op php.net.

Wat maakt het zo ernstig? Volgens beveiligingsbronnen kan een aanvaller via zulke lekken op afstand code laten draaien op een kwetsbare server, zonder in te loggen. Je kunt het vergelijken met een voordeur die iemand van buitenaf kan openen zonder sleutel. Daarom adviseert de Europese cybersecuritydienst CERT-EU organisaties om zich voor te bereiden op snel updaten, en om websites die niet bijgewerkt kunnen worden tijdelijk offline te halen.

Wat weten we nog niet?

Nog niet alles is openbaar. De berichten spreken elkaar op een paar punten tegen. Sommige noemen alle PHP-versies vanaf versie 5, andere melden dat de noodupdate alleen komt voor PHP 8.2 tot en met 8.5 en dat oudere versies geen oplossing krijgen. Cloudflare zag de eerste aanvallen, maar andere bronnen meldden op dat moment nog geen bevestigd misbruik. Kijk dus na de update op php.net voor de definitieve lijst.

Welke websites worden geraakt?

Volgens het nieuws draait ongeveer 70 procent van alle websites op PHP of op software die PHP gebruikt. Denk aan WordPress, Joomla en Drupal. Heeft jouw website zo'n systeem, dan hangt je veiligheid af van de PHP-versie op je server. Iemand moet die bijwerken, en daarna moet je testen of alles nog werkt.

Dat is het lastige aan een eigen server of goedkope hosting: niemand houdt het automatisch bij. Het gaat vaak mis op het moment dat iedereen denkt dat een ander het regelt.

Waarom onze websites er niet door geraakt worden

Wij bouwen websites, webshops en apps op Base44. Voor zover wij weten is dat platform gebouwd met moderne JavaScript-technologie en niet met PHP. Dit specifieke PHP-lek raakt een Base44-website dus niet. Je hoeft zelf geen server te patchen, want die zit niet in jouw beheer.

Bij elke website die wij maken zit het volgende standaard inbegrepen: hosting, updates, basis support en beveiliging. Dat is precies het stuk dat bij een PHP-site vaak blijft liggen. Zo hoef jij niet na te denken over welke versie ergens draait.

Een eerlijke opmerking

"Niet geraakt door dit lek" betekent niet "nooit kwetsbaar". Geen enkele website is honderd procent veilig. Zwakke wachtwoorden, phishing en te veel mensen met beheerrechten blijven risico's, op elk platform. Gebruik daarom sterke wachtwoorden en geef alleen toegang aan wie het echt nodig heeft.

Zelf beheren of laten beheren: het verschil

Deze tabel laat zien waar je bij dit incident het verschil merkt.

Wat moet je nu doen?

Draait jouw website op PHP? Doe dan dit, in deze volgorde:

1. Zoek uit waar je website op draait. Vraag het je webbouwer of hostingpartij. Noteer ook de PHP-versie.
2. Maak een back-up. Een complete kopie van bestanden en database, voordat je iets verandert.
3. Installeer de update zodra die uitkomt. Vandaag om 16:00 CEST staat de release gepland. Check php.net welke versies zijn opgelost.
4. Draai je een versie zonder oplossing? Ga naar een ondersteunde versie, zet je site achter een firewall of haal hem tijdelijk offline.
5. Test na de update. Probeer je formulieren, je betaalpagina en je inlog. Oudere plug-ins kunnen stuk gaan.
6. Let op vreemde dingen. Een ineens trage website, onbekende bestanden of nieuwe beheerders zijn een reden om direct je hostingpartij te bellen.

Weet je niet zeker of je website op PHP draait? Vraag het ons gerust. Dat uitzoeken kost weinig tijd.

Overstappen naar een veilige website

Vind je dit te veel gedoe? Dan is overstappen een goede optie. Dan zit het technische deel bij ons en bij het platform, en kun je je op je bedrijf richten.

Hoe snel een overstap gaat, hangt af van je website. Een eenvoudige bedrijfswebsite is in veel gevallen binnen een paar uur technisch overgezet. Een webshop met veel producten of koppelingen kost meer tijd. Zo pakken we het aan:

• Je vertelt wat je wilt. Een korte briefing is genoeg, zodat we je richting snappen.
• Wij zetten teksten en structuur over en bouwen de pagina's opnieuw op Base44.
• We controleren je oude adressen, zodat bezoekers en Google je nieuwe pagina's blijven vinden.
• Jij gaat live. Wij zetten alles netjes klaar voor publicatie.

Zo werkt het in drie simpele stappen, zie ook hoe het werkt. En wat het kost? Dat zie je op onze prijzenpagina. We beginnen bij minder dan 1 euro per dag.

Veelgestelde vragen

Wat is PHP?

PHP is een programmeertaal die op webservers draait en de pagina's van een website opbouwt. Veel bekende websitesystemen, zoals WordPress, zijn ermee gemaakt.

Is mijn WordPress-website in gevaar?

Mogelijk. WordPress draait op PHP. Gebruikt jouw server een getroffen versie, dan ben je kwetsbaar tot de update is geïnstalleerd. Controleer php.net en vraag je hostingpartij wat zijn plan is.

Draaien jullie websites op PHP?

Nee. Wij bouwen op Base44, en dat gebruikt voor zover wij weten geen PHP. Dit specifieke lek raakt onze websites daarom niet.

Betekent dat dat mijn website altijd veilig is?

Nee. Geen enkele website is volledig risicovrij. Sterke wachtwoorden en gecontroleerde toegang blijven belangrijk, ook bij een platform dat dit lek niet heeft.

Hoe lang duurt een overstap?

Een eenvoudige bedrijfswebsite is vaak in een paar uur technisch overgezet. Een webshop of een website met veel koppelingen duurt langer. Na een korte kennismaking geven we een duidelijke inschatting.

Verlies ik mijn Google-posities?

Niet als het goed wordt gedaan. We nemen je bestaande adressen mee en zorgen dat ze doorverwijzen naar de nieuwe pagina's. Daardoor blijft je vindbaarheid zoveel mogelijk behouden.

Conclusie

De PHP-lekken van deze week zijn serieus voor websites die op PHP draaien. Onze websites draaien op Base44 en worden er niet door geraakt. Heb je zelf nog een PHP-website, dan is dit het moment om te kiezen: vandaag bijwerken en blijven beheren, of overstappen naar een website waar je dit soort nieuws niet meer hoeft te volgen.

Wil je weten wat voor jou het slimst is? Boek een demo en we kijken samen naar je website. Geen technisch gedoe, wel een duidelijk antwoord. Bekijk ook onze prijzen of lees meer artikelen op onze blog.

Bronnen

• PHP.net: aankondiging van de komende kritieke beveiligingsrelease
• Linux Magazine: PHP waarschuwt voor twee kritieke beveiligingslekken
• RD: ethisch hacker over de gevolgen van de PHP-kwetsbaarheden

Dit artikel is geschreven op 21 oktober 2026, vóór de verwachte release. Details over getroffen versies kunnen nog veranderen.