Zijn de PHP-problemen nu opgelost, of toch niet?

PHP-problemen houden de webwereld bezig: de patch voor twee kritieke lekken is uit, maar securityexperts claimen dat die patch incompleet is. Tweakers meldde dat ze een derde bug hebben gevonden. Zijn de PHP-problemen dus opgelost, of toch niet? In dit artikel lees je wat vaststaat, wat nog onbevestigd is en waarom een beheerd platform als Base44 voor veel bedrijven een veiliger uitgangspunt is. De stand van zaken is die van 22 oktober 2026 en kan snel veranderen.

Inhoudsopgave

1. Wat is er gebeurd met PHP?
2. Is het nu opgelost?
3. Wie loopt risico?
4. Wat kun je nu doen?
5. Base44 als veilig alternatief
6. Veelgestelde vragen
7. Conclusie

Wat is er gebeurd met PHP?

Op woensdag 21 oktober 2026 om 16.00 uur bracht het PHP-team beveiligingsupdates uit voor twee kritieke kwetsbaarheden. Ze heten CVE-2026-109618 en CVE-2026-109619 en staan ook bekend als PHP2Shell. Beide maken het mogelijk dat een aanvaller zonder inloggen code uitvoert op de server. Volgens Security.NL gaat het om geheugencorruptie en een zogeheten stale global state die tot een use-after-free kan leiden.

Websites gingen preventief offline

De impact was direct zichtbaar. Security.NL meldde dat vanwege de bekendmaking diverse websites van overheden, ziekenhuizen en media uit voorzorg offline gingen. Hosting- en securitybedrijven wachtten niet op een bevestigde aanval. Dat laat zien hoe ernstig de lekken werden ingeschat.

Welke versies zijn gepatcht?

De fixes zitten in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP 8.1 en ouder krijgen geen officiële updates meer. Voor PHP 7.4, 8.0 en 8.1 publiceerde het PHP-team alleen minimale source-backports, waarmee je zelf een update moet compileren. De afzonderlijke maatregelen die het team noemt, maken een installatie volgens het team zelf niet veilig.

Is het nu opgelost?

Het eerlijke antwoord: de twee bekende lekken zijn officieel gepatcht, maar er is discussie over wat er daarna nog openstaat. Dat verschil is belangrijk voor wie beslist of een systeem weer online mag.

De claim van een onvolledige patch

Tweakers schreef dat securityexperts een derde bug vinden en claimen dat de patch incompleet is. Volgens TechPulse meldt onderzoeker Nicolas Krassas dat PHP 8.5.12 nog drie mogelijke aanvalsroutes openlaat. Die claim is nog niet onafhankelijk bevestigd. TechPulse meldt ook dat hij zijn proof-of-concept publiceerde zonder het PHP-team vooraf te informeren.

Wat zegt het PHP-team?

Een andere onderzoeker meldde wel gecoördineerd een geheugenbug in PHP 8.5.12. PHP-kernontwikkelaar Ilija Tovilo noemt dat volgens TechPulse een simpele geheugenbug waarvan misbruik veel ingewikkelder is, en zegt dat die niet samenhangt met de twee gepatchte lekken. Er is dus geen bevestigd bewijs dat de patch zelf faalt. Er is ook geen reden om aan te nemen dat het probleem is afgerond.

Waarom zekerheid ontbreekt

Zo'n situatie is typisch. Details kwamen vroeg naar buiten, aanvallers en onderzoekers lezen mee en patches worden onder tijdsdruk geschreven. Ga er daarom vanuit dat er nog vervolgupdates kunnen komen en houd je systemen daarop ingericht.

Wie loopt risico?

Volgens W3Techs, zoals Security.NL aanhaalt, draait bijna zeventig procent van alle websites op PHP. Ook content management systemen als WordPress, Drupal, Joomla en Magento zijn ervan afhankelijk. Elke PHP-installatie die webverzoeken verwerkt, is in principe kwetsbaar, onder meer PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed.

Verouderde versies zijn het grootste probleem

VirusTotal ziet volgens Security.NL ongeveer 5,1 miljoen ip-adressen met PHP, waarvan een groot deel de versie verbergt. Van de servers die de versie wel tonen, draait een flink aantal een versie die niet meer wordt ondersteund. Wie zijn PHP-versie niet kent, kan ook niet bepalen of hij gepatcht is.

Afhankelijk van je leverancier

Het NCSC wijst erop dat gebruikers bij veel producten afhankelijk zijn van de leverancier om te updaten naar de nieuwste PHP-versie. Een webshop met plugins, een thema van derden en een hostingpakket betekent dus meerdere partijen die allemaal moeten bijwerken. Meer over de samenhang tussen techniek en vindbaarheid lees je op onze pagina over SEO.

Wat kun je nu doen?

Handel snel, maar niet blind. De instanties die Security.NL aanhaalt, adviseren per systeem een risicoafweging te maken. Het Europese CERT-EU raadt aan systemen die niet meteen kunnen worden gepatcht tijdelijk offline te halen.

• Stel vast welke PHP-versie je hosting gebruikt en update naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35.
• Draai je PHP 8.1 of ouder? Plan een upgrade, of vraag je hoster naar backported fixes.
• Vraag je leveranciers van plugins, thema's en hosting wanneer zij patchen.
• Controleer je logbestanden op ongebruikelijke verzoeken.
• Kan een systeem niet snel worden gepatcht, haal het dan tijdelijk offline.
• Volg de releasenotes van PHP: een vervolgupdate is niet uitgesloten.

Heb je hulp nodig bij de afweging? Bekijk onze aanpak voor webdesign en onderhoud of neem contact met ons op.

Base44 als veilig alternatief

Wie geen eigen PHP-omgeving wil bijhouden, heeft een alternatief. Base44, het AI-platform van Wix, bouwt een volledige website of webapp vanuit een beschrijving in gewone taal. Database, authenticatie en hosting zitten in het platform. Jij hoeft daardoor geen PHP-versies, serverpakketten en plugins te patchen. FLOR-IT migreert klanten naar Base44, zodat het onderhoud van de onderliggende techniek bij het platform ligt. In ons artikel over hoe Wix werkt lees je meer over dat ecosysteem.

Wat verandert er voor jou?

Onderwerp	Eigen PHP-site	Base44
PHP-updates	Jouw verantwoordelijkheid	Niet van toepassing: geen eigen PHP-server
Hosting	Zelf regelen	Ingebouwd
Authenticatie en database	Plugins of eigen code	Ingebouwd
Plugin-risico	Hoog bij verouderde plugins	Veel kleiner
Ontwerp en SEO	Volledige controle	Volledige controle, met onze begeleiding

Eerlijk: ook Base44 is niet onkwetsbaar

Veilig betekent niet foutloos. In juli 2025 vond Wiz Research een authenticatiefout op Base44. Infosecurity Magazine meldde dat de fout binnen 24 uur werd gepatcht en dat er geen aanwijzingen voor misbruik waren. Het verschil met de PHP-situatie: één partij herstelt centraal, in plaats van duizenden losse servers die elk zelf moeten updaten. De configuratie van je eigen app blijft wel een aandachtspunt, en dat pakken wij samen met je op.

Veelgestelde vragen

1. Zijn de PHP-problemen nu opgelost?

De twee kritieke lekken CVE-2026-109618 en CVE-2026-109619 zijn officieel gepatcht. Er zijn claims van extra aanvalsroutes, maar die zijn nog niet onafhankelijk bevestigd.

2. Welke PHP-versie moet ik installeren?

De fixes zitten in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Gebruik de nieuwste versie die je applicatie ondersteunt.

3. Wat als ik PHP 8.1 of ouder gebruik?

Die versies krijgen geen officiële updates meer. Plan een upgrade of vraag je hoster naar backported fixes.

4. Is mijn website geraakt als ik Wix of Base44 gebruik?

Je beheert op die platformen geen eigen PHP-server. Houd wel altijd je eigen koppelingen en accounts op orde.

5. Kan ik mijn bestaande website migreren naar Base44?

Ja. We inventariseren eerst content, SEO en koppelingen, zodat je vindbaarheid niet verloren gaat.

6. Wat kost een migratie?

Dat hangt af van omvang en functies. In een kennismakingsgesprek geven we een eerste indicatie.

Conclusie

Zijn de PHP-problemen nu opgelost, of toch niet? De twee bekende lekken zijn gepatcht, maar de discussie over een mogelijk onvolledige patch loopt nog. Wacht dus niet af: update, controleer je leveranciers en overweeg of je de techniek nog zelf wilt beheren.

Wil je weten hoe veilig jouw website nu is, of een migratie naar Base44 overwegen? Plan een vrijblijvend online gesprek of lees meer over FLOR-IT. Meer actuele artikelen vind je in ons nieuwsoverzicht.

Over de auteur

Dit artikel is geschreven door Peter, Sales Director en eigenaar van FLOR-IT. FLOR-IT is Official Wix Enterprise Partner met meer dan 25 jaar ervaring en ruim 1.500 opgeleverde websites. We zijn gespecialiseerd in Wix Studio en Harmony, Base44, SEO en digitale marketing en werken in het Nederlands, Engels, Frans en Duits.

Bronnen: Tweakers, Security.NL, TechPulse, PHP.net, Infosecurity Magazine.