Kritiek PHP-lek: waarom je Wix-website er niet door geraakt wordt

Twee kritieke kwetsbaarheden in PHP bedreigen miljoenen websites, maar websites die op Wix of Base44 draaien gebruiken geen PHP dat jij moet patchen. In dit artikel lees je wat er speelt rond dit PHP-lek, wat het verschil is tussen een PHP-site en een Wix-site, en wat je vandaag nog kunt doen.

Inhoudsopgave

1. Wat is er aan de hand met PHP?
2. Waarom raakt dit zoveel websites?
3. Wat betekent dit voor Wix en Base44?
4. Vergelijking: PHP-site, Wix-site en Base44-site
5. Wat moet je nu doen als je site op PHP draait?
6. Overstappen naar Wix of Base44
7. Veelgestelde vragen
8. Conclusie

Wat is er aan de hand met PHP?

De makers van PHP hebben op 20 oktober 2026 aangekondigd dat ze twee kritieke kwetsbaarheden gaan verhelpen. De beveiligingsrelease staat gepland voor woensdag 21 oktober 2026 om 14:00 UTC, dat is 16:00 CEST. Beide lekken krijgen een risicoscore van 9,2 op een schaal van 10. Dat blijkt uit de officiële aankondiging op php.net.

Volgens beveiligingsbronnen gaat het om kwetsbaarheden waarmee een aanvaller op afstand code kan uitvoeren, zonder dat daarvoor inloggen nodig is. Dat is het ergste scenario voor een webserver: een buitenstaander kan dan in het slechtste geval de controle overnemen. In de media worden de lekken aangeduid met de nummers CVE-2026-109618 en CVE-2026-109619.

De Europese cybersecuritydienst CERT-EU waarschuwt organisaties om zich voor te bereiden op onmiddellijk patchen. Wie dat niet kan, wordt geadviseerd de getroffen websites tijdelijk offline te halen. Een ethisch hacker vertelde in het nieuws dat hij zijn eigen websites uit voorzorg al offline had gehaald.

Wat is nog niet duidelijk?

Op het moment van schrijven zijn niet alle details openbaar. Dat geldt voor de precieze versies die geraakt worden. Sommige berichten noemen alle versies vanaf PHP 5, terwijl een andere bron meldt dat de noodrelease alleen gepland is voor PHP 8.2 tot en met 8.5 en dat er voor PHP 8.1 en ouder geen fix komt. Ook over misbruik zijn de berichten niet eensgezind: Cloudflare meldde de eerste aanvallen, terwijl andere bronnen op dat moment nog geen bevestigd misbruik noemden. Controleer daarom na de release altijd php.net voor de definitieve lijst met getroffen en opgeloste versies.

Waarom raakt dit zoveel websites?

PHP is een programmeertaal die op de server draait en de pagina's van een website opbouwt. Volgens het nieuws draait wereldwijd ongeveer 70 procent van de websites op PHP of op toepassingen die PHP gebruiken. Daaronder vallen bekende systemen zoals WordPress, Joomla en Drupal. Een kwetsbaarheid in PHP zelf is daarom zo ernstig: het gaat niet om één plug-in die je kunt uitzetten, maar om de grondslag waarop de hele website rust.

Dat betekent ook dat jij als website-eigenaar met een PHP-site op twee fronten verantwoordelijk bent. De server moet de nieuwe PHP-versie krijgen, en daarna moet je controleren of je website, thema en plug-ins nog goed werken met die versie. Bij een eigen server of goedkope hosting wordt die klus vaak vergeten of uitgesteld.

Wat betekent dit voor Wix en Base44?

Bij FLOR-IT bouwen we websites op Wix Studio, Wix Harmony en Base44. Geen van die drie draait op PHP-code die jij of wij beheren. Op een Wix-website kun je zelfs geen eigen PHP-code toevoegen: Wix ondersteunt voor eigen code HTML en JavaScript (via Velo), maar geen PHP. Het PHP-lek van deze week raakt je Wix-website dus niet via de route waarlangs WordPress-sites worden bedreigd.

Wix regelt daarnaast zelf de hosting, de serverbeveiliging en het HTTPS-certificaat. Alle Wix-websites hebben automatisch HTTPS, en het bedrijf beschrijft zijn beveiligingsmaatregelen in het overzicht van Wix-beveiligingsmaatregelen. Een apart team beheert de infrastructuur, zodat jij geen servers hoeft te patchen. Over Wix' interne systemen kunnen wij uiteraard niet namens Wix spreken; het bedrijf communiceert zelf over eventuele incidenten.

Base44-websites en -apps worden voor zover ons bekend gebouwd met moderne JavaScript-technologie, niet met PHP. Ook daar zit de hosting in het platform, zodat je geen eigen webserver hoeft te onderhouden. Lees meer over de beveiliging van Wix Studio voor zakelijke websites en over de toepassingen van Base44 voor bedrijven.

Een eerlijke kanttekening

"Niet geraakt door dit lek" is iets anders dan "nooit kwetsbaar". Geen enkel platform is volledig risicovrij. Phishing, zwakke wachtwoorden en slecht beheerde gebruikersrechten blijven ook bij Wix en Base44 een risico. Zet daarom altijd tweestapsverificatie aan op je Wix-account en geef alleen mensen toegang die dat echt nodig hebben.

Vergelijking: PHP-site, Wix-site en Base44-site

De tabel hieronder laat zien waar bij dit incident het verschil zit voor jou als website-eigenaar.

Wat moet je nu doen als je site op PHP draait?

Draait je website op WordPress, Joomla, Drupal of een andere PHP-toepassing, ga dan vandaag nog aan de slag. Dit is een praktische volgorde:

1. Inventariseer je websites. Maak een lijst van alle sites en op welke PHP-versie ze draaien. Je hoster of je beheerder kan dat opzoeken.
2. Maak een back-up. Zorg voor een volledige, recente back-up van bestanden en database voordat je iets bijwerkt.
3. Installeer de update zodra die er is. De release staat gepland voor 21 oktober om 16:00 CEST. Controleer op php.net welke versies zijn opgelost.
4. Draai je een versie zonder fix? Upgrade naar een ondersteunde versie, zet de site achter een firewall (WAF) of VPN, of haal hem tijdelijk offline.
5. Test je website na de update. Controleer formulieren, betalingen en inlogpagina's. Oudere plug-ins werken soms niet met een nieuwe PHP-versie.
6. Let op vreemd gedrag. Onbekende bestanden, ineens trage pagina's of onverwachte beheerders zijn signalen om je hoster direct te bellen.

Wil je dit niet zelf doen? Dan hoort dat bij een onderhoudspakket waarbij iemand anders de updates voor je bijhoudt.

Overstappen naar Wix of Base44

Een lek als dit laat zien hoeveel werk er achter een PHP-website schuilgaat. Veel ondernemers kiezen daarom voor een platform waarbij het servergedeelte niet meer hun zorg is. Overstappen naar Wix of Base44 betekent dat de hosting, de updates van de onderliggende software en de basisbeveiliging bij het platform liggen.

Hoe snel dat gaat, hangt af van je website. Een eenvoudige bedrijfswebsite met een paar pagina's is in veel gevallen binnen enkele uren technisch overgezet. Een webshop met veel producten, koppelingen of een eigen formulierenstructuur kost meer tijd. Een goede migratie bestaat uit vier stappen:

• Inventarisatie van je pagina's en teksten, zodat niets verloren gaat.
• Een URL-overzicht met redirects, zodat je Google-posities behouden blijven.
• Nieuwe opbouw in Wix Studio, Wix Harmony of Base44, passend bij wat je website moet doen.
• Testen en live zetten zonder dat je website wegvalt.

Lees voor een uitgebreide vergelijking ook waarom bedrijven in 2026 overstappen van WordPress en onze vergelijking Wix Studio versus WordPress. Bekijk onze diensten en prijzen voor wat een overstap kost.

Veelgestelde vragen

Wat is PHP precies?

PHP is een programmeertaal die op webservers draait en de pagina's van een website opbouwt voordat ze in je browser verschijnen. Veel bekende systemen, zoals WordPress, zijn in PHP geschreven.

Is mijn WordPress-website in gevaar door dit PHP-lek?

Mogelijk wel. WordPress draait op PHP, dus als jouw server een getroffen versie gebruikt, ben je kwetsbaar tot de update is geïnstalleerd. De precieze lijst met getroffen versies wordt gepubliceerd bij de release. Controleer php.net en vraag je hoster naar zijn planning.

Moet mijn Wix-website offline?

Nee. Wix-websites draaien niet op PHP-code die jij beheert, en je kunt er geen PHP aan toevoegen. Je hoeft daarom niets bij te werken vanwege dit lek.

Zijn Base44-websites veilig voor dit lek?

Voor zover ons bekend gebruikt Base44 geen PHP, dus dit specifieke lek raakt je Base44-website niet. Beveiligingsmaatregelen zoals sterke wachtwoorden en gecontroleerde toegang blijven ook daar belangrijk.

Hoe lang duurt overstappen naar Wix of Base44?

Een eenvoudige bedrijfswebsite is vaak in een paar uur technisch overgezet. Webshops en websites met veel koppelingen kosten meer tijd. Na een korte kennismaking geven we je een concrete inschatting.

Verlies ik mijn Google-posities als ik overstap?

Niet als de migratie goed wordt gedaan. Met een overzicht van je huidige URL's en doorverwijzingen (redirects) blijven je posities behouden. Daarom is dit altijd een vast onderdeel van onze aanpak.

Conclusie

De PHP-lekken van deze week zijn een serieuze bedreiging voor websites die op PHP draaien, met WordPress, Joomla en Drupal voorop. Websites op Wix en Base44 worden hier niet door geraakt, omdat ze niet draaien op PHP-code die jij moet bijwerken. Draait jouw website nog op PHP, dan is dit het moment om je opties te bekijken: vandaag patchen, of overstappen naar een platform waarbij je dit soort zorgen niet meer hebt.

Met meer dan twintig jaar ervaring en ruim 1.500 opgeleverde websites kijken we graag met je mee. Plan een gratis kennismakingsgesprek van 30 minuten en we vertellen je eerlijk wat voor jouw website het beste werkt. Meer weten over ons bureau? Lees over ons, bekijk onze andere artikelen of neem contact op.

Bronnen

• PHP.net: aankondiging van de komende kritieke beveiligingsrelease
• Wix: overzicht van beveiligingsmaatregelen
• Wix: over SSL en HTTPS

Dit artikel is geschreven op 21 oktober 2026, vóór de verwachte release. Details over getroffen versies kunnen veranderen.