Op 20 oktober 2026 waarschuwde CERT-EU, de cybersecuritydienst van de EU-instellingen, voor twee kritieke lekken in PHP. PHP is de programmeertaal onder WordPress en onder het grootste deel van alle websites. Via de lekken kan iemand van buitenaf code op je server laten draaien. Heb je een WordPress-site, dan moet de PHP-versie op je server nu worden bijgewerkt. Dat gaat niet vanzelf via de gewone WordPress-updates.
Wat er aan de hand is
Het gaat om twee lekken, CVE-2026-109618 en CVE-2026-109619, allebei met een ernstscore van 9,2 op 10. Iemand kan er zonder in te loggen code mee laten draaien op je server. Op 21 oktober 2026 bracht PHP de oplossing uit in de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (php.net). Draait je site op een oudere versie, zoals PHP 7, dan krijgt die geen oplossing meer en moet je overstappen. Let ook op: PHP 8.2 krijgt na 31 december 2026 helemaal geen updates meer. CERT-EU adviseert om de update meteen te installeren, en een site tijdelijk offline te halen als dat niet lukt.
Geldt dit voor jouw site?
- WordPress, Joomla of een webshop: ja, die draaien op PHP.
- Een sitebouwer zoals Wix of Squarespace: die regelt dit zelf; je hoeft niets te doen.
- Weet je het niet? Vraag het aan wie je site heeft gemaakt, of aan je hostingbedrijf.
Drie dingen die je vandaag regelt
- Vraag wie de PHP-versie bijwerkt. Bij de meeste hostingbedrijven kies je zelf de versie in je controlepaneel. Zorg dat je site draait op 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of nieuwer.
- Werk WordPress en alle plug-ins bij, en verwijder plug-ins die je niet gebruikt.
- Zet tweestapsverificatie aan op je hostingaccount en op je WordPress-beheer.
Waarom de Offerte-automaat hier geen last van heeft
De sites van de Offerte-automaat bestaan uit vaste pagina's, zonder PHP, zonder WordPress en zonder plug-ins. Aanvragen gaan via een aparte, beveiligde dienst naar je mail. Er draait op je site dus niets wat dit lek kan raken, en je hoeft zelf niets bij te werken.
Samengevat
- Er zijn twee kritieke lekken in PHP, de taal onder WordPress.
- Draait je site op WordPress, laat dan vandaag de PHP-versie bijwerken.
- Gewone WordPress-updates zijn hier niet genoeg.
Powerfly uit Brielle bouwt de Offerte-automaat: een prijstool die zelf de prijsopgave maakt voor schilders, behangers en stukadoors, met een site eromheen.