Over het PHP-lek van oktober 2026 Je WordPress-site is zo veilig als de PHP eronder.
Je website doet het. Hij laadt, het contactformulier werkt en WordPress meldt dat alles up-to-date is. Dan zit het wel goed, zou je denken. Het PHP-lek van oktober 2026 liet zien dat dat niet altijd klopt: het gevaar zat dit keer niet in WordPress, maar in de laag eronder.
Een website is een pand met drie lagen
Zie je website als een winkelpand. WordPress, je thema en je plugins zijn de inrichting: die zie je, en daar wordt meestal aan gewerkt. PHP is de fundering, de techniek waar WordPress op draait. En je hostingpartij is de verhuurder van het pand.
Bij de inrichting is duidelijk wie wat doet. Bij de fundering vaak niet. De bouwer van je site gaat ervan uit dat de hostingpartij het regelt. De hostingpartij zet een PHP-versie klaar en laat het kiezen van een nieuwere vaak aan de klant. En jij weet niet dat er iets te kiezen valt. Zo blijft een site soms jaren op dezelfde versie staan, ook als die allang geen beveiligingsupdates meer krijgt.
Wat er in oktober 2026 gebeurde
Op 21 oktober bracht het PHP-team noodupdates uit voor twee ernstige fouten in PHP zelf. Wie ze wist te misbruiken, kon zonder wachtwoord opdrachten uitvoeren op de server achter een website. PHP draait onder een groot deel van alle websites, ook onder bijna elke WordPress-site, dus de schrik was groot. Sommige grote websites gingen uit voorzorg zelfs een tijdje offline.
Twee dagen later volgde een aanvulling. Ook na de update blijft er in een zeldzame situatie een klein risico over. Het PHP-team raadt daarom aan om één instelling uit te zetten tot de volgende gewone versie van PHP verschijnt. Zo’n instelling zit niet in WordPress, maar in de configuratie van de server. Die moet dus meestal bij je hostingpartij worden aangepast.
Waarom een WordPress-update hier niet helpt
WordPress kan zichzelf bijwerken, en veel plugins ook. Dat is fijn, maar het gaat alleen over de inrichting. De PHP-versie en de PHP-instellingen staan bij je hostingpartij. Een update van WordPress, een beveiligingsplugin of een nieuwe versie van je thema verandert daar niets aan.
Ook als je de PHP-versie zelf kunt kiezen in het beheerpaneel van je hosting, kun je de diepere instellingen meestal niet zelf wijzigen. Instellingen zoals die uit het advies van 23 oktober moeten op serverniveau gebeuren, en dat regelt in de praktijk bijna altijd de hostingpartij.
Zo controleer je het zelf
- Kijk welke PHP-versie je site gebruikt. In WordPress vind je die onder Tools → Site Health → Info → Server.
- Vergelijk met de feiten hierboven. Is je versie lager, vraag je hostingpartij dan om de update, of kies een nieuwere versie in het beheerpaneel van je hosting.
- Vraag naar de extra instelling. Vraag je hostingpartij of
session.upload_progress.enableduit staat. Dit kun je niet in WordPress regelen. - Draai je PHP 8.1 of ouder? Stap over naar 8.3 of nieuwer. Maak eerst een back-up en loop je site daarna na: een oud thema of een oude plugin kan op een nieuwe versie haperen.
Waarom dit vooral het mkb raakt
Grote bedrijven hebben iemand die hierop let. Bij een kleiner bedrijf is de site vaak ooit gebouwd door een freelancer, een bureau of een handige kennis, die allang met andere dingen bezig is. De hostingpartij doet wat er in het pakket staat. En jij hebt het druk met ondernemen. Niemand doet iets fout, maar niemand kijkt naar de fundering. Tot er een lek als dit voorbijkomt.
Hoe wij mkb-bedrijven helpen met beheer en beveiliging
Bij ons WordPress-beheer kijken we niet alleen naar de inrichting. We houden ook de PHP-versie van je site in de gaten. Komt er een beveiligingsupdate of raakt je versie verouderd, dan passen we hem aan bij je hostingpartij. Je hosting blijft gewoon waar hij is: verhuizen hoeft niet.
Daarnaast doen we wat je van beheer verwacht: updates van WordPress, je thema en je plugins, beveiliging, monitoring en onderhoud. Heb je een site die iemand anders ooit voor je bouwde? Dan kijken we eerst samen hoe hij ervoor staat. We zitten in Almelo en werken voor ondernemers in heel Twente. Stuur ons een bericht en we kijken met je mee.
Veelgestelde vragen
Is mijn WordPress-site kwetsbaar?
Dat hangt af van de PHP-versie en de PHP-instellingen bij je hostingpartij, niet van WordPress zelf. Draait je site op een versie van vóór de updates van 21 oktober 2026, laat die dan zo snel mogelijk bijwerken.
Moet ik na de update nog iets doen?
Het PHP-team raadt aan om ook na de update één instelling uit te zetten: session.upload_progress.enabled. Dat is een instelling van de server, dus dat regelt je hostingpartij. Vraag of het al gebeurd is.
Helpt een beveiligingsplugin tegen dit lek?
Nee. Een plugin draait zelf op PHP en kan een lek in PHP niet dichten. Alleen een update van PHP op de server, met de juiste instellingen, lost het op.
Geldt dit ook voor andere systemen dan WordPress?
Ja. Alles wat op PHP draait kan geraakt zijn, zoals Joomla, Drupal, Magento en veel maatwerk. WordPress valt op omdat het zo veel gebruikt wordt.
Kan ik de PHP-versie zelf aanpassen?
Bij veel hostingpartijen kun je de versie kiezen in het beheerpaneel. Maak eerst een back-up en loop je site daarna goed na: een oude plugin of een oud thema kan op een nieuwe versie fouten geven. Diepere PHP-instellingen kun je meestal niet zelf wijzigen; die regelt de hostingpartij.