Op 21 oktober 2026 maakte het PHP-team twee kritieke beveiligingslekken bekend, samen bekend als PHP2Shell. De ernstscore: 9,2 op een schaal van 10. Aanvallers kunnen er zonder wachtwoord of inlog eigen code mee uitvoeren op de server van je website, en het misbruik is al in volle gang: beveiligingsonderzoekers zagen de eerste aanvalspogingen zelfs dagen vóór de bekendmaking. De Amerikaanse overheidsdienst CISA gaf dezelfde dag een officiële waarschuwing af: direct patchen.
Waarom dit iedereen aangaat: PHP is de programmeertaal achter het grootste deel van het web. WordPress, Joomla, Drupal en talloze webshops draaien erop. Elke PHP-versie van de afgelopen tien jaar is kwetsbaar, van verouderde installaties tot gisteren bijgewerkte servers. Wie een website heeft die op PHP draait, en dat is de meerderheid van de Nederlandse mkb-sites, moet er dus vanuit gaan dat zijn site doelwit is.
En het was al een onrustig jaar voor WordPress
PHP2Shell staat niet op zichzelf. WordPress-eigenaren kregen in 2026 al een reeks serieuze incidenten voor de kiezen: in juli het kritieke WP2Shell-lek in de kern van WordPress zelf, waarmee aanvallers zonder inloggegevens code konden uitvoeren (gedicht in versies 6.9.5 en 7.0.2), in september een ernstig lek dat binnen enkele uren na bekendmaking al werd misbruikt, en doorlopend lekken in populaire plugins. Beveiligingsbedrijven beschrijven inmiddels zelfs malware die zich na het opschonen van een WordPress-site automatisch opnieuw installeert.
Belangrijk om eerlijk te zijn: WordPress is niet officieel onveilig verklaard, en een goed onderhouden WordPress-site met een strakke updateroutine kan prima veilig draaien. Maar het patroon is duidelijk: wie op WordPress en PHP draait, heeft een fundament dat vaak en hard geraakt wordt, en moet er dus bovenop zitten. Elke week dat updates blijven liggen is een open deur.
Dit moet je vandaag doen als je site op PHP of WordPress draait
- Controleer bij je hostingpartij welke PHP-versie je draait en laat die direct bijwerken naar minimaal 8.2.35, 8.3.36, 8.4.27 of 8.5.12. Oudere versies (8.1 en lager) krijgen geen beveiligingsupdates meer en moeten sowieso vervangen worden.
- Draai je WordPress: werk de kern bij naar minimaal 6.9.5 of 7.0.2, en wérk alle plugins en thema's bij. Verwijder plugins die je niet gebruikt; elk ongebruikt stukje software is een extra deur.
- Maak eerst een volledige back-up (bestanden én database), zodat je terug kunt als een update misgaat.
- Check op sporen van inbraak: onbekende beheerdersaccounts, gewijzigde bestanden, vreemde uitgaande mail. Bij twijfel: laat het nakijken, want een eenmaal besmette site blijft vaak besmet.
- Hoor je van je websitebouwer of host niets over dit lek? Dat zegt iets. Vraag expliciet of en wanneer er gepatcht is.
De structurele vraag: wil je elke paar maanden deze brandoefening?
Updates draaien lost dit incident op, maar niet het patroon. Een klassieke WordPress-site is een stapel software van verschillende makers (PHP, WordPress, tientallen plugins, een thema) die allemaal apart lek kunnen raken en allemaal apart onderhouden moeten worden. Dat kán, als iemand dat onderhoud echt structureel doet. In de praktijk zien wij vooral sites waar al maanden niemand naar heeft omgekeken.
Het kan ook anders. De websites en platforms die wij in de werkplaats bouwen draaien niet op PHP maar op een moderne stack (Next.js), waarbij pagina's grotendeels als kant-en-klare, statische bestanden worden uitgeleverd. Er is geen PHP-server die elk verzoek uitvoert, geen pluginverzameling van twintig verschillende makers, en de onderdelen die er wél zijn houden wij actief bij. Eerlijk is eerlijk: honderd procent veilig bestaat nergens, ook bij ons niet. Maar het aanvalsoppervlak is een fractie van dat van een gemiddelde WordPress-site, en het onderhoud ligt bij de bouwer in plaats van bij een plugin-update die jij moet onthouden.
Daarom konden onze klanten deze week gewoon doorwerken, terwijl halve hostingpanelen in de brand stonden.
Twijfel je of jouw site kwetsbaar is?
Stuur ons gerust je websiteadres. We kijken kosteloos of je site op een kwetsbare PHP- of WordPress-versie draait en zeggen eerlijk wat er aan de hand is: soms is dat één update bij je host, soms is het verstandiger om over een steviger fundament te praten. Geen verkooppraatje, gewoon een antwoord.
Hier iets mee willen doen in jouw bedrijf?
Leg je situatie op tafel, dan zeggen we eerlijk wat wel en niet werkt. Binnen één werkdag antwoord.