PHP-kwetsbaarheid: wat het voor je website en SEO betekent

Wispr.nl · 21 oktober 2026

Een winkelier bekijkt een laptop met een rood waarschuwingssymbool op de toonbank van een lichte winkel

Op 21 oktober 2026 publiceerde het PHP-team een noodupdate voor twee kritieke kwetsbaarheden. Een aanvaller kan er zonder in te loggen opdrachten mee uitvoeren op een server die PHP draait. Nederlandse overheidssites gingen uit voorzorg offline. Draait jouw website op WordPress, WooCommerce of andere PHP-software, dan raakt dit je ook. Je leest wat er bekend is, wat je nu moet doen en wat het betekent voor je vindbaarheid in Google.

In het kort

PHP heeft updates uitgebracht voor twee kritieke kwetsbaarheden, allebei beoordeeld met 9,2 op de CVSS-schaal (versie 4.0). De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, of nieuwer.
De fout zit in PHP zelf, niet in een plugin. Volgens PHP is updaten de enige complete oplossing. Instellingen verkleinen het risico alleen.
PHP 8.1 en ouder krijgen geen update meer van het PHP-project. Vraag je hostingpartij naar een backport of ga naar een ondersteunde versie.
Een website die uitvalt of wordt gehackt kan in Google zakken of verdwijnen. Controleer daarom ook je beveiligingsmeldingen in Search Console.

Wat is er aan de hand met PHP?

PHP is de programmeertaal onder een groot deel van het web, waaronder WordPress. Op 20 oktober lekte informatie over twee ernstige fouten uit voordat er een oplossing was. Het PHP-beveiligingsteam kondigde een noodupdate aan en bracht die op 21 oktober uit.

De kwetsbaarheden dragen de nummers CVE-2026-109618 en CVE-2026-109619. PHP omschrijft ze als remote code execution zonder inloggen. Dat betekent dat een aanvaller op afstand eigen opdrachten kan laten uitvoeren op de server van een website, en daarmee mogelijk de controle overneemt. Dit zijn de oorzaken, zoals PHP ze beschrijft:

CVE-2026-109618: als PHP zonder geheugen komt te zitten, kan het midden in het verwerken van een verzoek afbreken. De gegevens van dat verzoek zijn dan maar half ingericht, en bij het opruimen behandelt PHP ze alsnog als geldig.
CVE-2026-109619: gegevens van een eerder verzoek blijven in het geheugen staan nadat dat geheugen is vrijgegeven. Een later verzoek dat dezelfde PHP-worker afhandelt, kan ze gebruiken.

Hoe groot is het risico echt?

PHP noemt alle installaties die webverzoeken afhandelen als risico, ook PHP-FPM, php-cgi, FrankenPHP en LiteSpeed. Het risico is volgens PHP het hoogst bij Apache met mod_php. Daar toonde het team een aanval aan waarbij een verzoek zonder inlog de aanval start voordat de code van de website draait.

Tegelijk beoordeelt PHP de aanvalscomplexiteit als hoog: het slagen hangt onder meer af van de PHP-build, de extensies en het gedrag van de server. Dat maakt een kritiek lek niet onschuldig. Cloudflare meldde op 21 oktober vroege aanvallen, schrijft Sansec, en het NCSC spreekt van publieke proof-of-conceptcode. Het NCSC had in zijn bericht nog geen actief misbruik gezien.

Draait jouw website op PHP?

Veel kleine bedrijven weten dat niet precies. Dit zijn de gebruikelijke verdachten:

WordPress en WooCommerce
Joomla en Drupal
Magento en Shopware
Maatwerk-sites van een webbouwer, vaak met Laravel

Een website die helemaal geen PHP gebruikt, heeft last van een fout in PHP niet. Controleer wel je bijzaken: een oude testomgeving, een tweede site op hetzelfde account of een beheertool als phpMyAdmin draait vaak op PHP, ook als de hoofdsite dat niet doet.

Je PHP-versie vind je in het controlepaneel van je hosting. In WordPress staat die onder Gereedschap, Sitegezondheid en dan het tabblad Info.

Welke PHP-versie is veilig?

Binnen de takken 8.2 tot en met 8.5 zijn alle versies vóór onderstaande updates kwetsbaar. Kijk welke tak jij gebruikt:

PHP-tak	Veilig vanaf	Opmerking
8.5	8.5.12	Krijgt updates
8.4	8.4.27	Krijgt updates
8.3	8.3.36	Krijgt updates
8.2	8.2.35	Krijgt updates tot 31 december 2026
8.1 en ouder	Geen update van PHP	Backport via leverancier, of upgrade

Linux-distributies en leveranciers met langdurige ondersteuning kregen de patches vooraf. Sommige leveren de oplossing als backport in een ouder versienummer. Vraag je hostingpartij dus wat ze hebben doorgevoerd. Voor PHP 7.4, 8.0 en 8.1 maakte het PHP-team minimale backports voor wie zelf bouwt of geen leverancier heeft.

Zo pak je het aan, stap voor stap

Zoek je PHP-versie op en noteer welke websites erbij horen, ook de oude.
Vraag je hostingpartij wanneer de update wordt doorgevoerd. Bij beheerde hosting regelen zij het meestal zelf.
Maak een back-up van bestanden en database voordat er iets verandert.
Installeer de update, of laat je webbouwer dat doen, en herstart daarna de PHP-processen.
Test daarna je contactformulier, bestelproces en uploads.
Zit je op een versie zonder update? Plan dan een upgrade naar een ondersteunde versie. Controleer eerst of je plugins en thema die versie aankunnen.

Kun je nog niet updaten? Dan noemt PHP een aantal instellingen die het risico verkleinen, zoals het uitzetten van session.upload_progress en het beperken van de grootte van verzoeken. PHP zegt er zelf bij dat ze een installatie niet veilig maken, en het NCSC waarschuwt dat tijdelijke maatregelen niet voldoende zijn. Laat zulke instellingen over aan je webbouwer en zie ze als noodgreep.

Wat een storing of hack betekent voor je vindbaarheid

Een website die niet reageert, geeft Google een serverfout. Google vertraagt dan het crawlen, schrijft het zelf. Pagina's die blijvend een serverfout geven, verdwijnen uiteindelijk uit de index. Zodra je site weer normaal antwoordt, verhoogt Google het crawltempo geleidelijk. Een vaste termijn noemt Google niet.

Een gehackte website is erger. Google omschrijft gehackte inhoud als alles wat zonder toestemming op je site is gezet door een beveiligingslek: ingespoten code, spampagina's of omleidingen. Zulke sites kunnen lager scoren of helemaal uit de zoekresultaten verdwijnen. Search Console heeft daarvoor het rapport Beveiligingsproblemen (Security issues). Kijk er na zo'n incident even in.

Een scan zoals die in Wispr kijkt naar snelheid, AI-gereedheid en SEO. Dat vervangt geen beveiligingscontrole. Wil je wel weten hoe je site er in Google voor staat? Doe de gratis website-check of lees waarom een complete websitecontrole telt.

Controleer of je site is gehackt

Zeker als je site de eerste uren of dagen kwetsbaar was, loont een korte controle:

Zoek in Google op site:jouwdomein.nl en kijk of er pagina's tussen staan die je niet kent, zoals gokken of medicijnen.
Kijk in je webmap naar nieuwe of recent gewijzigde bestanden die je niet zelf plaatste.
Bekijk of er beheerders of geplande taken zijn bijgekomen.
Open Search Console en bekijk het rapport Beveiligingsproblemen.

Vind je iets? Haal de server dan van het netwerk, bewaar de logbestanden en laat een specialist de site opschonen. Wijzig daarna alle wachtwoorden en sleutels die de server kon lezen. Meer artikelen over het gezond houden van je website vind je op de blog van Wispr.

Wat je beter niet doet

Geen losse "fix"-plugins of codefragmenten van internet. Niemand heeft die gecontroleerd, en de echte oplossing is de PHP-update.
Niet vertrouwen op onderhoudsmodus. Volgens Sansec helpt de onderhoudsmodus van WordPress of Magento niet, omdat PHP elk verzoek nog steeds verwerkt.
Niet wachten. Is je site belangrijk en kun je niet updaten, bespreek dan met je webbouwer of de site tijdelijk uit de lucht moet. Het NCSC noemt dat als optie.
Niet blind updaten naar de nieuwste PHP-versie. Test eerst of je thema en plugins werken, zeker als je nu op een oude versie zit. Lees ook hoe je na een audit zelf verbetert.

Bronnen

Veelgestelde vragen

Is mijn WordPress-website kwetsbaar?

WordPress draait op PHP, dus de PHP-versie op je server bepaalt je risico, niet WordPress zelf. Draai je een PHP-versie die ouder is dan 8.5.12, 8.4.27, 8.3.36 of 8.2.35, dan ben je kwetsbaar, tenzij je host de fix als backport heeft doorgevoerd. Vraag je hostingpartij wat ze hebben bijgewerkt en laat de PHP-processen herstarten.

Moet ik mijn website offline halen?

Dat hangt af van je risico en van hoe snel je kunt updaten. Het NCSC adviseert per internetgerichte PHP-server het risico te beoordelen en offline halen te overwegen als dat nodig is. Heb je een webshop of persoonsgegevens op de server, bespreek dit dan met je webbouwer. Zodra de update is geïnstalleerd, hoeft het meestal niet meer.

Verdwijn ik uit Google als mijn site even offline is?

Google noemt geen vaste termijn. Wel geldt dat pagina's die blijvend een serverfout geven, uiteindelijk uit de index verdwijnen, en dat het crawlen na herstel geleidelijk weer op gang komt. Een kort en snel opgelost probleem is dus iets anders dan een site die dagenlang niet reageert.

Waar vind ik betrouwbare informatie?

Begin bij het advies op php.net, waar het PHP-team de versies en de oplossing beschrijft. Voor Nederland publiceert het NCSC adviezen op advisories.ncsc.nl. Wees voorzichtig met berichten op sociale media en met tools die beloven je site te "repareren". Die zijn vaak niet gecontroleerd en kunnen zelf schade doen.