Beveiliging
Kritieke PHP-beveiligingsupdate: wat website-eigenaren moeten doen
PHP heeft oplossingen voor twee kritieke kwetsbaarheden aangekondigd. Gebruikt je website WordPress of een ander PHP-systeem? Controleer je hosting en bereid je voor.
Wat is bevestigd
Status gecontroleerd op 21 oktober 2026 om 14:40 Nederlandse tijd (12:40 UTC). Dit bericht is opgesteld vóór de geplande release. Bekijk de officiële PHP-melding hieronder voor de actuele status.
Op 20 oktober kondigde het PHP-beveiligingsteam twee kritieke kwetsbaarheden aan, elk met een score van 9,2 volgens CVSS v4.0. Beveiligingsupdates staan gepland voor 21 oktober om 16:00 Nederlandse tijd (14:00 UTC), mogelijk eerder. Bij onze laatste controle waren de getroffen versies, gerepareerde versies en volledige technische details nog niet gepubliceerd in de officiële melding.
Dit is reden om snel voorbereidingen te treffen, geen bewijs dat je website is gehackt. We publiceren pas een lijst met getroffen versies wanneer die te verifiëren is.
WordPress? Controleer ook de server.
WordPress draait op PHP. De PHP-versie wordt beheerd op hosting- of serverniveau, los van WordPress, thema’s en plug-ins. Alleen die bijwerken is niet hetzelfde als een PHP-beveiligingsupdate installeren.
Vraag je hostingprovider welke PHP-build je website gebruikt, of die getroffen is zodra de volledige melding beschikbaar is, en wanneer de juiste oplossing wordt toegepast. Vraag achteraf om bevestiging. Ga er niet vanuit dat managed hosting of automatische WordPress-updates dit al hebben afgedekt.
Wat je nu kunt doen
Breng je websites en applicaties op PHP in kaart, te beginnen met systemen die vanaf internet bereikbaar zijn. Spreek af wie de update uitvoert: je host, ontwikkelaar of IT-team.
Zorg voor een actuele back-up en een herstelplan. Laat verdachte activiteit en officiële beveiligingsmeldingen volgen. Pas de juiste oplossing snel toe zodra die beschikbaar is, controleer de actieve versie en test belangrijke functies zoals formulieren, inloggen en afrekenen.
CERT-EU adviseert om isolatie van internetgerichte applicaties te overwegen als direct herstel niet mogelijk is. Bespreek die afweging met je host of beveiligingsspecialist. Monitoring kan problemen helpen opsporen, maar verwijdert geen kwetsbaarheid en vervangt geen beveiligingsupdate.
Zorgen over je website? Neem contact op.
Mail hello@teqqed.com met je websiteadres en, als je die weet, je hostingprovider. We hebben capaciteit om de risico’s te beoordelen, dreigingsmonitoring in te richten en updates met je host af te stemmen. Stuur geen wachtwoorden, API-sleutels of andere inloggegevens per e-mail.
Binnen een afgesproken ondersteuningstraject kunnen we de update voorbereiden, de oplossing van de leverancier toepassen zodra die beschikbaar is voor je hostingomgeving en de website daarna controleren. De timing hangt af van de release, toegang tot de hosting en het benodigde werk. We stemmen eerst de omvang en vervolgstappen met je af.
Wil je WordPress vervangen?
We hebben ook capaciteit om WordPress-websites te vervangen door een platform dat past bij je bedrijf, content en onderhoudsbehoefte. Een nieuwe website is een afzonderlijke, geplande keuze, geen noodoplossing voor de beveiliging van je huidige website. Geen enkel platform is zonder risico. Pak eerst de directe risico’s aan en bepaal daarna hoe een beter beheersbare oplossing voor de lange termijn eruitziet.