Woensdag 21 oktober 2026, rond drie uur ’s middags. Eén na één gaan websites uit voorzorg uit de lucht: die van de Vlaamse overheid, Smartschool, VDAB, ziekenhuizen en zelfs het Centrum voor Cybersecurity België. De boosdoener: twee kritieke lekken in PHP, de programmeertaal waarop het merendeel van alle websites draait. Ook die van jou?
Paniek is niet nodig, actie wel. In dit artikel lees je wat er precies aan de hand is, hoe je in twee minuten controleert of jouw website veilig is, en wat je doet als dat niet zo is.
Laatst bijgewerkt: 27 oktober 2026
Wat is er precies aan de hand?
PHP is de programmeertaal achter WordPress, Joomla, Drupal en talloze webshops. Volgens VRT NWS draait meer dan 70 procent van alle websites wereldwijd erop. Op 20 oktober kondigde het PHP-team twee kritieke beveiligingslekken aan, met een score van 9,2 op 10 op de internationale CVSS-schaal. De lekken kregen de naam PHP2Shell en de codes CVE-2026-109618 en CVE-2026-109619.
In mensentaal: door een fout in de manier waarop PHP met geheugen omgaat bij bepaalde fouten, kan een aanvaller met een speciaal opgesteld verzoek eigen code laten uitvoeren op je server. Inloggen is daarvoor niet nodig. Volgens het PHP-team lopen alle PHP-installaties die webverzoeken verwerken risico. Het grootste risico zit bij servers die PHP als Apache-module draaien (mod_php).
Opvallend: volgens VRT NWS zat het lek zo’n 14 jaar onopgemerkt in de code. Een van de lekken werd mee opgespoord met een AI-model van OpenAI.
Waarom gingen zoveel Belgische websites offline?
Uit voorzorg haalden heel wat organisaties hun websites tijdelijk offline. Vlaams minister-president Matthias Diependaele gaf de opdracht om alle Vlaamse overheidssites op PHP uit de lucht te halen. Ook de FOD Financiën, de steden Gent en Brussel, ziekenhuizen zoals UZ Gent en UZ Leuven, Smartschool, VDAB en het CCB zelf waren een tijd onbereikbaar.
Details lekken vroegtijdig uit. Het PHP-team kondigt twee kritieke lekken aan en vervroegt de update.
De eerste Belgische websites gaan uit voorzorg offline. Het CCB raadt aan om de update te installeren zodra die er is.
PHP brengt de updates uit. Wie niet kan updaten, haalt volgens het CCB beter de website offline. Cloudflare telt in de uren daarna miljoenen aanvalspogingen.
Onder meer de FOD Financiën, Gent, Brussel en het CCB zijn nog offline. Er circuleert publieke aanvalscode.
Het Amerikaanse CISA zet CVE-2026-109618 op de lijst van actief misbruikte kwetsbaarheden.
Het goede nieuws: het CCB zag op dat moment geen effectieve incidenten in België, en ook beveiligingsbedrijf Sophos meldt op het moment van schrijven geen bevestigde geslaagde inbraken. Het slechte nieuws: aanvallers scannen volop naar servers die nog niet zijn bijgewerkt. Wachten is dus geen optie.
Is mijn WordPress-site kwetsbaar?
WordPress zelf bevat het lek niet. Het zit in PHP, de motor onder je website. Of jouw site kwetsbaar is, hangt dus af van de PHP-versie op je server en of je hostingpartij die al heeft bijgewerkt.
| PHP-versie | Veilig vanaf | Wat doe je? |
|---|---|---|
| 8.5 | 8.5.12 | Bijwerken als je lager zit. |
| 8.4 | 8.4.27 | Bijwerken als je lager zit. |
| 8.3 | 8.3.36 | Bijwerken als je lager zit. |
| 8.2 | 8.2.35 | Bijwerken én een upgrade plannen: 8.2 krijgt na 31 december 2026 geen beveiligingsupdates meer. |
| 8.1, 8.0 en 7.4 | Geen officiële update | Enkel veilig als je host een gepatchte versie installeerde. Beter: upgraden naar 8.4 of 8.5. |
| 7.3 en ouder | Geen oplossing | Dringend upgraden naar een ondersteunde versie. |
Zo check je in twee minuten of je website veilig is
- Zoek je PHP-versie op. Ga in WordPress naar Tools › Websitediagnose › tabblad Info › Server. Daar staat de PHP-versie van je website.
- Vergelijk met de tabel hierboven. Zit je op of boven de veilige versie, dan is dit lek voor jouw site gedicht.
- Vraag je hostingpartij om bevestiging. Bij PHP 8.1 en ouder toont het versienummer niet altijd of de patch is toegepast. Vraag ook of PHP na de update opnieuw is opgestart, want pas dan werkt de oplossing.
- Plan een upgrade als je op een oude versie zit. Neem eerst een volledige back-up en test op een kopie van je site, want oudere thema’s en plugins werken niet altijd met PHP 8.4 of 8.5.
- Houd WordPress, je thema en plugins up-to-date. Dat lost dit lek niet op, maar zo geef je aanvallers geen andere ingangen.
Wat als ik niet meteen kan updaten?
Het PHP-team is duidelijk: er bestaat geen volledige tijdelijke oplossing, updaten is de enige veilige keuze. Er zijn wel tussenmaatregelen die het risico verkleinen, zoals de instelling session.upload_progress.enabled=0. Die moet je hostingpartij op serverniveau instellen. Een plugin of een aanpassing via .user.ini volstaat niet.
Kan je echt niet meteen updaten? Volg dan het advies van het CCB en haal je website tijdelijk offline, of laat je host de toegang afschermen tot de update is uitgevoerd.
Hoe weet ik of mijn site al gehackt is?
Tot nu toe zijn er geen bevestigde inbraken via dit lek. Toch blijft waakzaamheid nodig: volgens professor Vincent Ginis (VUB) kan een goed uitgevoerde hack onopgemerkt blijven. Let op deze signalen:
- onbekende beheerders of gebruikers in WordPress;
- bestanden, plugins of pagina’s die je niet herkent;
- bezoekers die doorverwezen worden naar vreemde websites;
- een melding over gehackte inhoud in Google Search Console.
Twijfel je? Laat een specialist je site scannen. Wijzig je wachtwoorden pas nadat de server is bijgewerkt, anders kan een aanvaller ook de nieuwe onderscheppen.
“100 procent veilige software bestaat niet”
Die woorden van professor Ginis in VRT NWS vatten het goed samen. Een website is meer dan een mooi ontwerp: achter de schermen draait software die onderhoud vraagt, van PHP tot WordPress, je thema en elke plugin. Wie dat onderhoud goed regelt, hoeft bij een volgend lek niet in paniek te slaan.
Twijfel je of jouw website veilig is? Neem contact met ons op, we kijken graag met je mee. Of ontdek hoe we websites bouwen die er niet alleen goed uitzien, maar ook technisch goed in elkaar zitten.
Veelgestelde vragen over het PHP-lek
Wat is PHP2Shell?
PHP2Shell is de naam voor twee kritieke lekken in PHP, CVE-2026-109618 en CVE-2026-109619, bekendgemaakt op 20 en 21 oktober 2026. Ze kunnen een aanvaller toelaten om zonder inloggen code uit te voeren op een webserver. PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 dichten de lekken.
Moet ik iets doen als mijn hostingpartij het lek al heeft opgelost?
Controleer je PHP-versie en vraag een bevestiging. Heeft je host de update geïnstalleerd en PHP herstart, dan hoef je voor dit lek niets meer te doen. Houd wel WordPress, je thema en plugins up-to-date.
Is PHP 8.2 nog veilig?
Met versie 8.2.35 is dit lek gedicht. Maar PHP 8.2 krijgt na 31 december 2026 geen beveiligingsupdates meer. Plan dus nu al een upgrade naar PHP 8.4 of 8.5.
Bronnen
- PHP.net, News Archive 2026: beveiligingsupdates van 21 oktober 2026.
- VRT NWS, liveblog “Angst was terecht”, maar professor AI ziet voorlopig geen grote hacks na lekken in programmeertaal PHP, 21 en 22 oktober 2026.
- VRT NWS, artikel over de PHP-kwetsbaarheden en het advies van het CCB, 21 oktober 2026.
- The Brussels Times, Major Belgian websites still offline after critical PHP flaw, 22 oktober 2026.
- CERT-EU, Security Advisory 2026-018: Critical Vulnerabilities in PHP, 21 oktober 2026.
- watchTowr, CVE-2026-109618: FAQ.
- Sophos, Proof-of-concept exploit released for PHP vulnerabilities.