Updates over deze situatie
21 oktober 2026, 22:04 uur
De patches zijn op de meeste omgevingen uitgerold en we zijn gestart met het stapsgewijs weer online brengen van alle websites. Omdat dit gecontroleerd gebeurt, kan het nog enige tijd duren voordat alle websites weer bereikbaar zijn. Bedankt voor je geduld.
21 oktober 2026, 16:03 uur
De PHP-updates zijn beschikbaar en worden inmiddels uitgerold. Omdat dit zorgvuldig en gecontroleerd gebeurt, kan het nog enige tijd duren voordat alle websites weer online zijn.
21 oktober 2026, 15:52 uur
De officiële PHP-beveiligingsupdates zijn beschikbaar: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
21 oktober 2026, 14:30 uur
Voor klanten die hun hosting bij V-Web afnemen, hebben wij besloten de betreffende websites tijdelijk offline te halen totdat de beveiligingsupdate is uitgevoerd. Zo voorkomen we dat kwetsbare websites in de tussentijd kunnen worden misbruikt. Zodra de update is doorgevoerd en gecontroleerd, zetten we de websites weer online. Je hoeft hiervoor zelf niets te doen.
Je hebt er misschien over gelezen in het nieuws: er is een ernstig beveiligingsprobleem in PHP aan het licht gekomen. We krijgen hier veel vragen over en leggen daarom in dit artikel kort uit wat er speelt, of jouw website risico loopt en wat wij eraan doen.
Wat is er aan de hand?
Er zijn twee kritieke kwetsbaarheden in PHP ontdekt, geregistreerd als CVE-2026-109618 en CVE-2026-109619 en inmiddels bekend onder de naam "PHP2Shell". Beide krijgen een risicoscore van 9,2 op een schaal van 10. Volgens de Europese cybersecuritydienst CERT-EU en de PHP-ontwikkelaars kunnen aanvallers de lekken mogelijk misbruiken om zonder inloggegevens op afstand code uit te voeren op een kwetsbare server. Er zijn inmiddels eerste aanvalspogingen waargenomen.
PHP is de programmeertaal waarop een groot deel van alle websites draait. Daardoor raakt dit in potentie heel veel sites, ongeacht of ze op WordPress, Joomla, Drupal of maatwerk draaien. De PHP-ontwikkelaars hebben aangekondigd vandaag, 21 oktober 2026 om 16:00 uur (Nederlandse tijd), een beveiligingsupdate uit te brengen.
Loopt mijn website gevaar?
Dat hangt af van de PHP-versie waarop je website draait en hoe snel de beveiligingsupdate wordt toegepast. Een belangrijke kanttekening: op het moment van schrijven is nog niet officieel bevestigd welke PHP-versies precies kwetsbaar zijn. De verwachting is dat een breed scala aan versies geraakt wordt, mogelijk ook oudere. Houd er rekening mee dat:
- de ondersteunde PHP-versies (8.2 tot en met 8.5) naar verwachting een beveiligingsupdate krijgen;
- end-of-life versies (PHP 8.1 en ouder) geen update meer ontvangen. Draait je website hierop, dan is upgraden of migreren de enige veilige oplossing.
Wil je weten welke PHP-versies nog worden ondersteund? Dat lees je in ons artikel "PHP-versie up-to-date houden".
Wat doet V-Web?
Wij zijn hier sinds de eerste berichtgeving actief mee bezig. Belangrijk om te weten: deze beveiligingsupdate wordt op hostingniveau uitgevoerd, niet binnen het CMS. Voor websites die bij ons worden gehost betekent dat concreet:
- we inventariseren welke PHP-versies onze gehoste websites draaien;
- we volgen de officiële PHP-updates op de voet en voeren de update uit op de betreffende PHP-versies zodra deze beschikbaar is;
- we maken vooraf back-ups en controleren na de update of alles goed blijft werken;
- draait een website nog op een oudere PHP-versie waarvoor een upgrade niet mogelijk is, dan nemen we hierover contact op met de betreffende klant.
Heb je alleen onderhoud bij ons, maar wordt je website elders gehost? Dan verloopt deze PHP-update via je hostingpartij. Onderhoud bij V-Web betekent dus niet automatisch dat deze update bij je hoster wordt uitgevoerd. Ga bij je hoster na of en wanneer dit gebeurt, of neem contact met ons op als je twijfelt.
Wat moet je zelf doen?
| Jouw situatie | Wat te doen |
|---|---|
| Website gehost bij V-Web | Niets. Wij voeren de update uit op de betreffende PHP-versies zodra die beschikbaar is. Deze upgrade wordt uitgevoerd |
| Alleen onderhoud bij V-Web, hosting elders | De update gebeurt op hostingniveau. Regel dit zelf of ga na bij je hostingpartij of en wanneer de update wordt uitgevoerd. |
| Website volledig elders ondergebracht | Laat de PHP-beveiligingsupdate bij je hoster uitvoeren zodra die er is, of neem contact met ons op. |
| Oudere PHP-versie, upgrade niet mogelijk | Voor websites die wij hosten nemen wij hierover contact met je op. Elders gehost? Plan een veilige upgrade of migratie. |
| Vermoeden van een hack | Wacht niet af en bekijk hulp bij een gehackte website. |
Geen paniek, wel actie
Een kwetsbaarheid als deze klinkt alarmerend en de nieuwsberichtgeving is stevig. Het belangrijkste is nu dat de beveiligingsupdate snel en gecontroleerd wordt toegepast en dat je website op een ondersteunde PHP-versie draait. Dat is precies waar wij op dit moment mee bezig zijn. Heb je vragen of twijfel je of jouw website goed zit? Neem gerust contact met ons op.
Laatst bijgewerkt: 21 oktober 2026. Dit is een zich ontwikkelende situatie. We werken dit artikel bij zodra er meer officieel bekend is over de getroffen versies en de beschikbare updates.
