PHP-patch is uit: zo pak je het aan, en waarom migreren naar Base44 de duurzame oplossing is

De PHP-patch voor de twee kritieke kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 is uit. Heb je een website op PHP, dan moet je vandaag nog patchen én herstarten. Maar daarmee is de bredere vraag niet beantwoord: hoe zorg je dat je de volgende keer niet opnieuw in de brandweermodus zit? In dit artikel lees je wat er is uitgebracht, hoe je de PHP-patch veilig doorvoert, welke strategie op langere termijn werkt en waarom migreren naar Base44 voor veel ondernemers de duurzame oplossing is.

Inhoudsopgave

1. De PHP-patch is uit: wat is er uitgebracht?
2. Patchen en herstarten: de stappen
3. Wanneer is patchen niet genoeg?
4. Een strategie voor de langere termijn
5. Waarom toch migreren naar Base44?
6. Wanneer migreren niet de beste keuze is
7. Zo verloopt een migratie
8. Veelgestelde vragen
9. Conclusie

De PHP-patch is uit: wat is er uitgebracht?

Op 21 oktober 2026 bracht het PHP-beveiligingsteam noodupdates uit voor de ondersteunde PHP-versies, na een aankondiging op php.net een dag eerder. Beide kwetsbaarheden scoren 9,2 op een schaal van 10 (CVSS v4.0) en maken volgens de beschikbare analyses uitvoering van code op afstand mogelijk, zonder dat een aanvaller hoeft in te loggen. In het slechtste geval kan een buitenstaander dus een webserver overnemen.

In gewone taal: bij CVE-2026-109618 kan PHP tijdens een geheugentekort worden onderbroken terwijl interne verzoekgegevens maar half zijn ingesteld, waarna ongeldige gegevens als geldig worden behandeld. Bij CVE-2026-109619 blijven interne gegevens bestaan nadat het geheugen is vrijgegeven, zodat een volgend verzoek op dezelfde worker ze kan misbruiken. Dit staat beschreven in de analyse van Rescana. De details zijn technisch; wat telt is de uitkomst.

Dit zijn de gepatchte versies:

Onderzoekers stellen dat getroffen releases teruggaan tot PHP 5.4. Dat betekent dat ook oude, vergeten websites kwetsbaar kunnen zijn.

Wat weten we over misbruik?

Het beeld is wisselend. Cloudflare zegt aanvalsverkeer te hebben gezien, CERT-EU acht misbruik waarschijnlijk omdat er proof-of-concepts circuleren, terwijl het PHP-team bij de release geen werkende exploits had gevonden en CISA nog geen misbruik meldde. Dit kan snel veranderen. Ga er daarom vanuit dat het risico reëel is.

Patchen en herstarten: de stappen

Een applicatie-update alleen is niet genoeg. De nieuwe PHP-versie moet geïnstalleerd zijn én de draaiende processen moeten opnieuw gestart worden. Zo pak je het aan:

1. Inventariseer alle PHP-omgevingen. Denk aan live websites, testsites, containers, hostingpanelen en oude projecten.
2. Controleer de versie. Draai php -v of vraag het je hoster, en vergelijk met de tabel hierboven.
3. Werk PHP bij naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35.
4. Herstart alles wat PHP draait: Apache, PHP-FPM en langlopende processen zoals queue-workers.
5. Controleer opnieuw de versie, ook van PHP-FPM zelf.
6. Zoek naar sporen van misbruik. Verdacht zijn onder meer ongewoon grote PHPSESSID-cookies, multipart-verzoeken gevolgd door geheugenfouten, onverklaarbare crashes van workers en onbekende PHP-bestanden. Een schone uitkomst bewijst niet dat je niet geraakt bent.

Zit je site bij een hoster? Vraag schriftelijk welke PHP-versie jouw site draait en wanneer is herstart. Let op: op sommige serveromgevingen worden PHP-updates niet automatisch meegenomen met de gewone beveiligingsupdates. Zo waarschuwt Laravel Forge dat gebruikers PHP daar zelf moeten bijwerken.

Wanneer is patchen niet genoeg?

Voor PHP 8.1 en ouder komt geen officiële fix. PHP heeft wel minimale broncode-backports gepubliceerd voor 7.4, 8.0 en 8.1, bedoeld voor wie zelf compileert, en sommige leveranciers bieden eigen backports. CISA adviseert systemen met PHP 8.1 of ouder offline te halen tot ze zijn gepatcht. Je hebt dan drie opties: upgraden naar een ondersteunde versie (en testen of je plug-ins nog werken), een leverancier met langdurige ondersteuning inschakelen, of de site tijdelijk offline halen.

PHP noemt ook tijdelijke maatregelen, zoals het beperken van uploadgroottes en het uitzetten van session.upload_progress.enabled. Het PHP-team zegt zelf dat die een installatie niet veilig maken. Zie ze als noodrem, niet als oplossing.

Let ook op de volgende datum: volgens Rescana loopt de ondersteuning van PHP 8.2 af op 31 december 2026. Een site die vandaag op 8.2.35 wordt gepatcht, heeft over ongeveer tien weken dus alweer een versie zonder ondersteuning. Patchen koopt tijd, maar lost het onderliggende probleem niet op.

Een strategie voor de langere termijn

Dit PHP-lek is niet de eerste en zal niet de laatste zijn. Wie een website op PHP heeft, is verantwoordelijk voor de servers eronder. Een duurzame aanpak bestaat uit vijf onderdelen.

1. Weet wat je hebt

Maak een overzicht van al je websites: waar ze draaien, welke PHP-versie, wie beheerder is, welke plug-ins erin zitten en wanneer de laatste update was. Je kunt niet patchen wat je niet kent. Vergeten testsites en oude campagnepagina's zijn vaak het zwakste punt.

2. Maak patchen een vast ritme

Spreek af hoe snel je kritieke updates doorvoert, bijvoorbeeld binnen 24 tot 72 uur, en wie dat doet. Volg meldingen van PHP en van de beveiligingsdiensten, en neem het herstarten van processen op in je procedure.

3. Draai alleen ondersteunde versies

Zet de einddatum van je PHP-versie in de agenda, ruim voordat die verloopt. Een versie zonder ondersteuning krijgt bij het volgende lek geen oplossing meer.

4. Beperk de schade als het misgaat

Gebruik een webapplicatiefirewall (WAF), maak back-ups buiten de server, geef processen en gebruikers zo min mogelijk rechten en houd een testomgeving aan. Een WAF kan enige bescherming bieden, maar patchen blijft noodzakelijk.

5. Kies per website: bijwerken, moderniseren of migreren

Niet elke website heeft dezelfde oplossing nodig. Deze tabel helpt bij de keuze:

Waarom toch migreren naar Base44?

Patchen is een tredmolen: elk kritiek PHP-lek betekent opnieuw werk voor iedereen met een PHP-site. De kern van het probleem is niet dit ene lek, maar dat je als website-eigenaar verantwoordelijk bent voor de laag eronder. Bij Base44 zit die laag in het platform.

• Geen server om te patchen. Hosting en onderliggende software zijn onderdeel van het platform. Voor zover ons bekend gebruikt Base44 geen PHP, dus dit specifieke lek raakt een Base44-website niet.
• Minder onderdelen die kunnen verouderen. Geen losse plug-ins en thema's die elk hun eigen updatecyclus hebben.
• Beveiligingsfuncties ingebouwd. Volgens de documentatie van Base44 kun je per datatype instellen wie gegevens mag zien en bewerken, en worden sleutels en inloggegevens in een versleutelde opslag bewaard.
• Snel overgezet. Een eenvoudige bedrijfswebsite is in veel gevallen binnen enkele uren technisch overgezet. Bouwen en aanpassen gaat met AI, onder controle van een ervaren team.
• Eén aanspreekpunt. Wij regelen de migratie, de redirects en het onderhoud, zodat jij je op je bedrijf kunt richten.

Een eerlijke kanttekening: geen platform is risicovrij. Zwakke wachtwoorden, phishing en te veel mensen met beheerrechten blijven ook bij Base44 een risico. Zet sterke wachtwoorden en gecontroleerde toegang dus altijd op orde.

Wanneer migreren niet de beste keuze is

Migreren is niet voor elke website de beste route. Heb je een maatwerk PHP-applicatie, een webshop met veel koppelingen aan boekhouding of magazijn, of een redactie die sterk leunt op specifieke WordPress-plug-ins, dan is moderniseren en professioneel beheer op een ondersteunde PHP-versie vaak verstandiger. Lees ook onze uitleg over Base44 voor bedrijven en wanneer je het niet gebruikt. Vraag bij elke overstap hoe het zit met eigendom en export van je gegevens, zodat je niet vastzit aan één leverancier.

Zo verloopt een migratie

1. Kennismaking van 30 minuten. We bekijken je huidige website en vertellen eerlijk of migreren past.
2. Inventarisatie. We leggen pagina's, teksten, formulieren en koppelingen vast.
3. Nieuwe opbouw op Base44, passend bij wat je website moet doen.
4. Redirects en test. Elk oud adres verwijst naar de juiste nieuwe pagina, zodat je vindbaarheid behouden blijft.
5. Live zetten zonder dat je website wegvalt.

Meer over de aanpak lees je in ons artikel over websitemigratie in 2026. Bekijk ook onze diensten en prijzen, en onze eerdere uitleg over het PHP-lek en Wix-websites.

Veelgestelde vragen

Is patchen genoeg om veilig te zijn?

Patchen en herstarten is het minimum. Daarna moet je controleren of er al sporen van misbruik zijn, omdat een aanvaller mogelijk al binnen was. Voor langere termijn heb je ook een vast patchritme en een ondersteunde PHP-versie nodig.

Wat moet ik doen als mijn hoster PHP 8.1 of ouder draait?

Voor die versies komt geen officiële fix. Vraag je hoster naar een upgrade naar een ondersteunde versie of naar een eigen backport, en overweeg de site tot die tijd offline te halen of achter een firewall te zetten.

Hoe weet ik of mijn website is gehackt?

Let op ongewoon grote PHPSESSID-cookies, onbekende PHP-bestanden, onverklaarbare crashes en plotselinge traagheid. Een schone uitkomst bewijst niet dat je niet geraakt bent. Laat bij twijfel een specialist meekijken.

Raakt dit lek ook Base44-websites?

Voor zover ons bekend gebruikt Base44 geen PHP, dus dit specifieke lek raakt een Base44-website niet. Dat betekent niet dat een website nooit kwetsbaar kan zijn; toegangsbeheer en wachtwoorden blijven belangrijk.

Hoe lang duurt een migratie naar Base44?

Een eenvoudige bedrijfswebsite is vaak in een paar uur technisch overgezet. Grotere sites en webshops kosten meer tijd. Na een korte kennismaking geven we je een concrete inschatting.

Verlies ik mijn Google-posities als ik migreer?

Niet als de migratie goed wordt gedaan. Met een overzicht van je huidige adressen en doorverwijzingen blijven je posities zoveel mogelijk behouden. Dat is altijd een vast onderdeel van onze aanpak.

Conclusie

De PHP-patch is er, en wie PHP draait moet vandaag nog patchen, herstarten en controleren. Maar de patch lost niet op dat je bij elk volgend lek opnieuw hetzelfde werk hebt. Met een goede inventarisatie, een vast patchritme en ondersteunde versies houd je een PHP-site op orde. Wil je dat werk niet meer zelf dragen, dan is migreren naar Base44 voor veel websites de duurzame oplossing.

Met meer dan twintig jaar ervaring en ruim 1.500 opgeleverde websites kijken we graag met je mee. Plan een gratis kennismakingsgesprek van 30 minuten en we vertellen je eerlijk wat voor jouw website het beste werkt. Lees meer over ons, bekijk onze andere artikelen of neem contact op.

Bronnen

• PHP.net: nieuwsarchief 2026
• Rescana: twee kritieke PHP-lekken gepatcht in 8.5.12, 8.4.27, 8.3.36 en 8.2.35
• Laravel Forge: PHP security advisory (CVE-2026-109618, CVE-2026-109619)

Bijgewerkt op 22 oktober 2026. Het beeld over misbruik en getroffen versies kan nog veranderen.