Op 21 oktober 2026 zette een kritiek lek in PHP een groot deel van het internet op scherp. PHP is de programmeertaal waarop 69,3 procent van alle websites met een bekende servertechniek draait (W3Techs), waaronder vrijwel elke WordPress-site en WooCommerce-webshop. Het gaat om twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, die onderzoekers PHP2Shell noemen. Het PHP-beveiligingsteam geeft beide een score van 9,2 op 10. Volgens het Nationaal Cyber Security Centrum (NCSC) kan een aanvaller met een eenvoudig verzoek aan de website eigen code uitvoeren op de server.
Dit artikel is geschreven voor Nederlandse ondernemers met een eigen website of webshop, voor kantoor- en officemanagers die vragen krijgen van collega's en voor IT-verantwoordelijken in het mkb. De vraag die ze vandaag allemaal stellen is dezelfde: lopen wij risico en wat moeten we nu doen?
Hieronder lees je eerst wat er precies aan de hand is, daarna wat wel en niet vaststaat, en tot slot een concrete checklist voor je website, je klantgegevens en je medewerkers.
Wat is er aan de hand met PHP?
PHP is de software die op een webserver draait en de pagina's van een website opbouwt. Het lek zit in PHP zelf en niet in een losse plugin of een thema. Daardoor maakt het niet uit hoe goed je WordPress, Joomla, Drupal of Magento zelf is bijgewerkt: draait de server op een kwetsbare PHP-versie, dan is de site in principe kwetsbaar.
Het PHP-beveiligingsteam kondigde op 20 oktober een spoedupdate aan voor woensdag 21 oktober om 16:00 uur Nederlandse tijd. Nog voor die update uit was, lekten de details uit. Volgens het NCSC is er inmiddels publieke code beschikbaar waarmee het lek te misbruiken is. Het NCSC zegt ook dat alle versies vanaf PHP 5 in ieder geval kwetsbaar zijn, terwijl de updates voor zover bekend alleen voor PHP 8 verschijnen.
Wat staat vast en wat niet
| Bewering | Stand op 21 oktober 2026 |
|---|---|
| Twee kritieke kwetsbaarheden, elk met score 9,2 | Bevestigd door het PHP-beveiligingsteam |
| Spoedupdate om 16:00 uur Nederlandse tijd | Bevestigd door PHP en het NCSC |
| Misbruik mogelijk met een eenvoudig verzoek aan de site | Gemeld door het NCSC |
| Alle versies vanaf PHP 5 kwetsbaar | Gemeld door het NCSC, PHP publiceert de exacte versies bij de update |
| Updates alleen voor PHP 8 | Volgens het NCSC voor zover bekend, PHP ondersteunt officieel alleen 8.2 en nieuwer |
| Actieve aanvallen | Niet eenduidig: Cloudflare en Patchstack zien de eerste aanvallen, het NCSC had nog geen actief misbruik gezien |
Waarom gingen DigiD en MijnOverheid offline?
Het advies van het NCSC was duidelijk: zolang er geen update is, zijn systemen met PHP die vanaf het internet bereikbaar zijn vermoedelijk kwetsbaar. Maak per systeem een risicoafweging en overweeg het systeem uit te zetten. Veel organisaties deden precies dat. DigiD, MijnOverheid, de website van de Tweede Kamer, RTL en Tweakers gingen tijdelijk uit de lucht, net als de Autoriteit Persoonsgegevens en Notubiz, dat door zo'n honderd gemeenten wordt gebruikt. Het NCSC haalde zijn eigen website ook offline.
Een website die tijdelijk offline is, is in dit geval dus geen teken van paniek maar van verstandig beleid. Het betekent dat een organisatie liever even geen pagina's laat zien dan dat ze het risico loopt dat iemand bij de gegevens erachter komt.
Draait jouw bedrijfswebsite op PHP?
De kans is groot. Een website op WordPress, een webshop op WooCommerce of Magento en veel maatwerk van webbureaus draaien op PHP. Een webshop op Shopify draait niet op PHP. De Spy-Fy-webshop draait op Shopify en heeft daarom geen last van dit lek.
Weet je niet zeker waar je site op draait, dan is dat de eerste vraag voor je webbouwer of hostingpartij. Deze vijf stappen kun je vandaag nog zetten:
- Vraag je hostingpartij of webbouwer wanneer de update wordt geïnstalleerd. Bij beheerde hosting gebeurt dat meestal centraal, maar vraag het na in plaats van het aan te nemen.
- Controleer je PHP-versie. Alleen PHP 8.2 en nieuwer krijgt een officiële update. Draait je site op PHP 8.1 of ouder, dan is een upgrade nodig. Plan die nu met je webbouwer.
- Vertrouw niet op tijdelijke maatregelen. Volgens het NCSC zijn de tijdelijke maatregelen van PHP niet voldoende om het lek weg te nemen. De update installeren is de enige echte oplossing.
- Kun je niet snel updaten, overweeg dan de site tijdelijk offline te halen. Zeker als er klantgegevens achter de site zitten, zoals bestellingen, accounts of contactformulieren.
- Vergeet de systemen naast je website niet. Een oude testomgeving, een intranet of software van een leverancier kan ook PHP bevatten. Het NCSC wijst erop dat zulke producten vaak een update van de leverancier nodig hebben.
Wat als er klantgegevens zijn gelekt?
Ontdek je dat iemand misbruik heeft gemaakt van het lek en zitten er persoonsgegevens achter je site, dan kan er sprake zijn van een datalek. Onder de AVG moet je een datalek waarbij een risico is voor de betrokkenen binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Leg in elk geval vast wat er is gebeurd en wat je hebt gedaan, ook als je uiteindelijk niet hoeft te melden.
Datalekken komen vaak pas weken na het lek zelf aan het licht. Houd daarom de komende tijd in de gaten of er vreemde bestanden, nieuwe beheerdersaccounts of onverwachte doorverwijzingen op je site verschijnen. Je webbouwer kan dat voor je nalopen.
Bereid je medewerkers voor op phishing
Groot beveiligingsnieuws wordt vrijwel altijd gevolgd door phishing. Verwacht de komende dagen mails die zeggen dat jullie website "direct moet worden bijgewerkt" of dat er "een beveiligingsprobleem op je account" is, met een link of een bijlage. Spreek met je team af dat niemand naar aanleiding van een mail iets installeert of inlogt, en dat updates alleen via je eigen webbouwer of hostingpartij lopen.
Dit is ook een goed moment om twee basisregels na te lopen: een uniek wachtwoord per dienst, het liefst via een wachtwoordmanager, en tweestapsverificatie met een app in plaats van sms op alle zakelijke accounts.
Waar fysieke privacy in een bedrijf past
Een serverlek los je niet op met een webcam cover en dat gaan we ook niet beweren. Wat het PHP-lek wel laat zien, is dat je zodra gegevens op een server staan afhankelijk bent van hoe snel iemand anders een update installeert. Waar je zelf wel over gaat, is wat jullie apparaten vastleggen.
Dat is het idee achter fysieke privacy op kantoor: een camera die is afgedekt, legt niets vast, wat er ook misgaat in de software. Voor teams en relatiegeschenken maakt Spy-Fy onder meer webcam covers met je eigen logo en privacysets met je logo. Waarom afdekken in een zakelijke omgeving zin heeft, lees je in onze gids waarom je je webcam afplakt op kantoor.
De kern in één alinea
PHP2Shell is een kritiek lek in de programmeertaal achter ruim twee derde van alle websites, met een score van 9,2 op 10 en een spoedupdate op 21 oktober 2026 om 16:00 uur. Draait je bedrijfswebsite op WordPress, WooCommerce of een andere PHP-toepassing, vraag dan vandaag je hostingpartij of webbouwer wanneer de update erop staat en of je PHP-versie nog ondersteund wordt. Waarschuw je team voor phishing en houd de komende weken in de gaten of er klantgegevens zijn geraakt, want dan geldt de meldplicht van 72 uur. Wil je daarnaast de fysieke kant van privacy op kantoor goed regelen, bekijk dan de zakelijke privacyproducten van Spy-Fy.
