Ernstige PHP-beveiligingslekken: hoe veilig is jouw website eigenlijk?

Op 21 oktober 2026 kwamen twee ernstige beveiligingsproblemen in PHP in het nieuws. PHP draait achter een groot deel van het web. Daardoor kan een kwetsbaarheid veel websites raken, vooral wanneer servers en applicaties niet tijdig worden bijgewerkt.

Wat is er aan de hand?

Het gaat om CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden kregen volgens het PHP-beveiligingsteam een kritieke score van 9,2. Ze kunnen onder bepaalde omstandigheden uitvoering van code op afstand mogelijk maken zonder dat een aanvaller eerst hoeft in te loggen. PHP noemt alle installaties die webverzoeken verwerken als risicogroep en noemt het risico bij mod_php het hoogst.

Beveiligingsupdates zijn beschikbaar in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Oudere PHP-versies ontvangen vanuit het PHP-project geen normale beveiligingsupdates meer, al leveren sommige Linux- en LTS-leveranciers eigen backports. Het oorspronkelijke nieuwsbericht staat bij NOS; de actuele technische informatie en versies staan in het officiële PHP-beveiligingsadvies. Voor de juiste update blijven ook de adviezen van de hosting- of pakketleverancier belangrijk.

PHP is daarmee niet automatisch onveilig. Het is een breed gebruikt platform dat actief wordt onderhouden. Het risico ontstaat vooral wanneer software verouderd raakt of updates uitblijven. Dat geldt net zo goed voor andere programmeertalen, frameworks, besturingssystemen en containers.

Wat heeft Wervora gecontroleerd?

Wervora bouwt voornamelijk met andere technieken dan PHP. Naar aanleiding van het nieuws hebben we de eigen server direct gericht gecontroleerd. Ook zijn alle 15 actieve Docker-containers nagekeken. Bij die controle werd via het standaard PHP-commando geen PHP-installatie aangetroffen.

Er zijn daarom geen aanwijzingen gevonden dat de gecontroleerde actieve systemen door dit specifieke PHP-probleem worden geraakt. Dit was een gerichte controle naar aanleiding van de berichtgeving; geen volledige beveiligingsaudit en geen absolute veiligheidsgarantie.

Waarom technisch onderhoud belangrijk blijft

Een website is geen eenmalig eindproduct. De techniek erachter verandert voortdurend. Goed beheer bestaat daarom uit meerdere onderdelen:

• software en afhankelijkheden tijdig bijwerken;
• beveiligingsmeldingen volgen en risico’s beoordelen;
• betrouwbare back-ups maken en herstel testen;
• hosting, logging en beschikbaarheid bewaken;
• verouderde systemen vervangen voordat ze een probleem worden.

Als ondernemer hoef je niet ieder beveiligingsadvies zelf technisch te doorgronden. Je moet wel weten wie verantwoordelijk is voor onderhoud, updates, back-ups en herstel. Vraag dat expliciet na bij je websitebouwer of hostingpartij.

De aanpak van Wervora

Bij Wervora kijken we niet alleen naar hoe een website eruitziet. We letten ook op moderne techniek, snelheid, gebruiksvriendelijkheid, onderhoudbaarheid en beveiliging. Bekijk hoe we omgaan met hosting en beheer of lees meer over een website laten maken.

Werkt je huidige website niet meer?

Is je website uitgevallen, sterk verouderd of niet meer veilig te onderhouden? Dan kan Wervora beoordelen of herstel verstandig is of dat vervanging een betere keuze is. Als er spoed bij is, bekijken we eerst de situatie, de benodigde inhoud en de technische afhankelijkheden. Daarna spreken we een realistische aanpak en planning af; een vaste oplevertermijn beloven we niet zonder die beoordeling.

Neem contact op met Wervora en vertel kort wat er aan de hand is. Dan kijken we samen naar de veiligste volgende stap.