Is mijn WordPress-site kwetsbaar?

Dat hangt af van de PHP-versie op je server, niet van WordPress zelf. Draait je site op een versie van vóór de update van 21 oktober 2026, laat die dan zo snel mogelijk bijwerken.

Helpt een beveiligingsplugin tegen dit lek?

Nee. Een plugin draait zelf op PHP en kan een lek in PHP niet dichten. Alleen een update van PHP op de server lost het op.

Geldt dit ook voor andere systemen dan WordPress?

Ja. Alles wat op PHP draait kan geraakt zijn, zoals Joomla, Drupal, Magento en veel maatwerk. WordPress valt op omdat het zo veel gebruikt wordt.

Kan ik de PHP-versie zelf aanpassen?

Bij veel hostingpartijen kan dat in het beheerpaneel. Maak eerst een back-up en test je site daarna goed: een oude plugin of een oud thema kan op een nieuwe PHP-versie fouten geven.

PHP-lek van oktober 2026: wat betekent het voor je WordPress-site?

Door luwe.studio · 24 oktober 2026

Op 21 oktober 2026 bracht het PHP-team noodupdates uit voor twee kritieke lekken in PHP, de programmeertaal waar WordPress op draait. Via die lekken kan een aanvaller zonder in te loggen code op je server uitvoeren. Heb je als ondernemer een WordPress-site of webshop, dan wil je weten of die veilig is. Hier lees je wat er speelt, wat je zelf kunt controleren en hoe wij helpen.

Wat er aan de hand is

De lekken heten officieel CVE-2026-109618 en CVE-2026-109619, en worden samen ook wel ‘PHP2Shell’ genoemd. Ze krijgen een score van 9,2 op 10: kritiek. In het slechtste geval is één verzoek aan je site genoeg om code op de server uit te voeren. Volgens beveiligingsbedrijven werd al op de dag van de update geprobeerd de lekken te misbruiken.

Het PHP-team heeft de lekken gedicht in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Draait je site op PHP 8.1 of ouder, dan komt er geen officiële update meer: die versies worden niet meer onderhouden. Op 23 oktober meldde het PHP-team nog een derde lek (CVE-2026-115560). Dat speelt alleen bij een ongebruikelijke instelling, maar het laat zien dat dit verhaal nog niet klaar is.

Waarom een WordPress-update niet genoeg is

WordPress, je thema en je plugins zijn geschreven in PHP, maar PHP zelf draait op de server van je hostingpartij. Het lek zit in die laag eronder. Een update van WordPress of van een plugin lost het dus niet op: de PHP-versie op de server moet omhoog.

Daar gaat het bij veel mkb-sites mis. De site is ooit gebouwd, WordPress werkt zichzelf bij, maar niemand kijkt naar de PHP-versie. Die blijft jaren staan, tot hij geen beveiligingsupdates meer krijgt. Niemand merkt het, tot er iets misgaat.

Zo controleer je het zelf

Kijk welke PHP-versie je site gebruikt. In WordPress vind je die onder Tools → Site Health → Info → Server. Je hostingpartij kan het ook vertellen.
Vergelijk met de veilige versies: 8.5.12, 8.4.27, 8.3.36, 8.2.35 of nieuwer binnen dezelfde reeks.
Lager dan dat? Vraag je hostingpartij of de update al is doorgevoerd, of zet zelf een nieuwere versie aan in het beheerpaneel van je hosting.
Draai je PHP 8.1 of ouder? Stap over naar 8.3 of nieuwer. Maak eerst een back-up en test daarna je site: oude plugins kunnen op een nieuwe versie haperen.

Zit je op PHP 8.2? Die reeks krijgt nog tot 31 december 2026 beveiligingsupdates. Plan de overstap dus nu al.

Hoe wij mkb-bedrijven helpen met beheer en beveiliging

Bij ons WordPress-beheer houden we niet alleen WordPress, je thema en je plugins bij. We houden ook de PHP-versie van je site in de gaten. Is die verouderd of komt er een beveiligingsupdate, dan passen we hem aan bij je hostingpartij. Zo draait je site op een versie die nog beveiligingsupdates krijgt. Je hosting blijft gewoon waar hij is: je hoeft niet te verhuizen, wij regelen het bij je eigen hostingpartij.

Jij hoeft dus niet zelf in het beheerpaneel van je hosting te duiken of berichten over CVE-nummers bij te houden. Heb je een WordPress-site die iemand anders ooit voor je bouwde? Ook dan kijken we eerst samen hoe hij ervoor staat. We zitten in Almelo en werken voor ondernemers in heel Twente. Stuur ons een bericht en we kijken met je mee.