Op 21 oktober 2026 heeft het PHP-project updates uitgebracht voor twee kritieke kwetsbaarheden. PHP is de programmeertaal waar WordPress op draait, dus bijna elke WordPress-website is ermee in aanraking. Dit artikel is geschreven op 21 oktober 2026. De stand van zaken kan veranderen, kijk daarom ook op php.net.
Wat er aan de hand is
Het gaat om CVE-2026-109618 en CVE-2026-109619. Beide hebben een CVSS-score van 9,2 en kunnen leiden tot het op afstand uitvoeren van code, zonder dat een aanvaller hoeft in te loggen. Het PHP-project schrijft dat alle PHP-installaties die websites uitleveren erdoor geraakt worden, en dat de kans het grootst is bij mod_php.
Volgens zowel PHP als CERT-EU nemen tijdelijke maatregelen het risico wel af, maar maken ze een installatie niet veilig. Alleen een nieuwe PHP-versie lost het volledig op.
Welke PHP-versie is veilig?
De volgende versies bevatten de fix. Staat je website op een lager nummer binnen dezelfde reeks, dan is hij nog kwetsbaar.
| Jouw reeks | Minimaal |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 (PHP 8.2 stopt op 31 december 2026) |
| PHP 8.1 en ouder | Geen reguliere updates meer. Er zijn wel beperkte backports voor 7.4, 8.0 en 8.1 gepubliceerd. Stap over naar een nieuwere reeks. |
Zo controleer je welke PHP-versie je website gebruikt
- Log in op WordPress.
- Ga naar Gereedschap, dan Websitegezondheid.
- Open het tabblad Info en klik het onderdeel Server open.
- Kijk bij PHP-versie. Staat daar een nummer onder de tabel hierboven, dan is je website kwetsbaar.
Een update van WordPress of een plugin verandert de PHP-versie niet. Die staat op de server, en de partij die je hosting verzorgt past hem aan. Vraag je hostingpartij of de update al is doorgevoerd, en welke versie je nu gebruikt.
Laat ons de PHP-check doen
Geef je websiteadres door, dan kijken wij welke PHP-versie draait en mailen je wat er moet gebeuren.
