Vandaag om 16:00 Nederlandse tijd verschijnen beveiligingsupdates voor PHP, de programmeertaal waarop een groot deel van alle websites draait. Het PHP-beveiligingsteam kondigde gisteren aan dat de updates twee kritieke kwetsbaarheden dichten. Zo'n vooraankondiging is ongebruikelijk en geeft beheerders een paar uur om zich voor te bereiden. Die tijd kunt u het beste benutten.
Wat is er aan de hand
PHP geeft beide lekken een ernstscore van 9.2 op een schaal van 10. Volgens onderzoekers van watchTowr, die BleepingComputer sprak, gaat het om lekken waarmee een aanvaller op afstand eigen code op de webserver kan uitvoeren. Technische details, de getroffen versies en de herstelde versies maakt PHP pas bij de release bekend. Misbruik is nog niet waargenomen, maar PHP houdt zich het recht voor eerder te publiceren als details uitlekken of aanvallen opduiken.
Het patroon is bekend: zodra een update uit is, kunnen aanvallers die vergelijken met de vorige versie en zo het lek reconstrueren. De periode tussen release en installatie is daardoor het moment waarop het risico het grootst is.
Wat betekent dit voor uw organisatie
PHP zit onder vrijwel elke WordPress-site, onder veel webshops en onder allerlei klantportalen, intranetten en boekingssystemen. Vaak weet een ondernemer niet eens dat zijn website op PHP draait, omdat de hostingpartij of het webbureau dat regelt. Juist daar zit het risico: niemand voelt zich eigenaar van de update.
Wordt een webserver via zo'n lek overgenomen, dan kan een aanvaller de site aanpassen, bezoekers doorsturen naar phishingpagina's, klantgegevens uit de database halen of betaalpagina's manipuleren. Voor een webshop raakt dat direct aan omzet, vertrouwen en uw verplichtingen onder de AVG.
Wat u vandaag kunt doen
- Breng in kaart wat er op PHP draait. Denk aan de website, de webshop, een klantportaal en interne webapplicaties, ook als die bij verschillende partijen gehost worden.
- Bel of mail uw hostingpartij en webbouwer. Vraag concreet of zij de update van vandaag direct na verschijnen installeren en wanneer u een bevestiging krijgt.
- Controleer de PHP-versie. Draait een site nog op een versie die geen ondersteuning meer krijgt, dan komt er mogelijk geen update voor. Dat vraagt om een upgrade, niet om afwachten.
- Zorg voor een recente back-up. Een schone, geteste back-up van site en database maakt herstel eenvoudig als er toch iets misgaat.
Hoe Qteco hierbij helpt
Voor klanten met webservers in ons beheer plannen we de PHP-update direct na publicatie in, testen we de werking van de applicaties en bevestigen we wanneer alles is bijgewerkt. Hosten uw website of webshop bij een andere partij, dan helpen we u met de juiste vragen en controleren we waar nodig de versie en de configuratie. Daarnaast houden we de berichtgeving over misbruik in de gaten en passen we zo nodig extra maatregelen toe, zoals strengere filtering voor de webserver.
Twijfelt u of uw website, webshop of portaal op tijd wordt bijgewerkt? Plan een gesprek met een van onze engineers en we lopen het samen met u na.
Bronnen
- Upcoming Critical PHP Security Release — PHP.net (2026-10-20)
- PHP warns admins of two critical flaws, emergency patches coming tomorrow — BleepingComputer (2026-10-20)
Lees ook
Firewall en VPN vaker doelwit: zo houdt u de voordeur dicht
Klaar om zorgeloos te draaien?
Plan een vrijblijvende kennismaking. We brengen uw IT en security in kaart en laten zien waar het verschil zit.
Plan een gesprek →