PHP-beveiligingslek: wat betekent dit voor jouw website?
Er is een ernstig beveiligingslek bekend in PHP, de techniek waarop WordPress draait. Wij zijn bezig met alle websites die wij bouwen en beheren. Op deze pagina lees je wat er speelt, wat wij doen en welke keuze je zelf kunt maken.
Laatste update: woensdag 21 oktober 2026, 15:43 uur
Update 17:02 uur: update uitgerold. De update is inmiddels uitgerold en actief op de meeste websites. Websites die in overleg offline zijn gezet gaan de komende uren ook weer online.
Update 15:43 uur: de oplossing is er. PHP heeft de beveiligingsupdate uitgebracht. Onze hostingpartners zijn nu bezig die te installeren. Daarna controleren we iedere website.
Wat is er aan de hand?
Het beveiligingsteam van PHP heeft op 20 oktober twee kritieke kwetsbaarheden aangekondigd, allebei met een risicoscore van 9,2 op 10. Volgens PHP kan een aanvaller via deze lekken op afstand een server overnemen, zonder in te loggen (bron: php.net). Het lek maakt een aanval mogelijk. Dat betekent niet dat jouw website is aangevallen.
Dit speelt wereldwijd. Ongeveer zeventig procent van alle websites draait op PHP. Verschillende organisaties in Nederland hebben hun websites vandaag uit voorzorg tijdelijk offline gehaald.
De oplossing is er
PHP heeft vandaag een beveiligingsupdate uitgebracht die beide lekken dicht. Volgens PHP is die update de enige echte oplossing (bron: php.net).
Onze hostingpartners zijn nu bezig de update te installeren op de servers waarop onze websites draaien. Tot dat klaar is, blijven de tijdelijke beschermingsmaatregelen van kracht. Die verkleinen het risico, maar sluiten het niet volledig uit.
Zodra de update op de server staat, controleren we iedere website. We verwachten de meeste websites vanavond of morgenochtend bij te werken. Zien we bij die controle iets afwijkends, dan hoor je dat direct van ons.
Draait jouw website op een oudere versie van PHP? Dan nemen we contact met je op over een upgrade.
Offline halen: jouw keuze
Tot de update is geïnstalleerd, is tijdelijk offline halen de enige manier om het risico volledig uit te sluiten. Die keuze ligt bij jou. Het hangt onder meer af van welke gegevens er in je website staan. Een webshop met klantgegevens vraagt om een andere afweging dan een informatieve website. Wij denken graag met je mee, maar kunnen die beslissing niet voor je nemen.
Kies je voor offline halen, houd dan rekening met de gevolgen. Je website is tijdelijk niet bereikbaar voor bezoekers en klanten. En lopende advertentiecampagnes zet je dan beter op pauze, zodat er geen budget naar een onbereikbare website gaat.
Wil je je website tijdelijk offline halen, of twijfel je? Laat het ons weten, dan regelen we het samen met je.
Wat kun je zelf doen?
Het bijwerken van WordPress of plug-ins lost dit lek niet op, want het zit in PHP zelf. Wordt je website gehost bij een andere partij dan via ons? Vraag die partij dan welke maatregelen zij nemen.
Zie je iets ongebruikelijks, zoals vreemde meldingen, onbekende gebruikers in WordPress of onverwachte wijzigingen? Mail ons dan direct op helpdesk@bigfat.nl en beschrijf wat je ziet.
Vragen of liever contact?
Mail ons op helpdesk@bigfat.nl. Liever op een andere manier contact? Kijk dan op onze contactpagina. Deze pagina houden we actueel.
Bronnen
- PHP: Upcoming Critical PHP Security Release (php.net, 20 oktober 2026)
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (php.net, 21 oktober 2026)
