Nieuws · het PHP-lek van oktober 2026
Op 21 oktober bracht PHP een spoedupdate uit voor twee kritieke lekken, PHP2Shell genoemd. Wereldwijd gingen websites uit voorzorg offline, ook in Nederland. Host je bij Netslim, dan zetten wij de update op al onze servers. Je hoeft niet in te loggen, niets te klikken en niet wakker te liggen.
$ netslim status php2shell
lek CVE-2026-109618, CVE-2026-109619
ernst 9,2 van 10 (kritiek)
gevolg code uitvoeren op de server
geraakt elke site op PHP, ook WordPress
update 21 oktober, 16:00
$ netslim wat-doe-ik
netslim update op alle servers
netslim oude PHP-versies: wij bellen jou
edge extra filter vóór je server
jij nietsHet lek zit in PHP zelf, niet in WordPress of een plugin. Elke server die PHP draait, moet de update krijgen, bij elke hoster. Wie zegt dat het bij hem niet had kunnen gebeuren, vertelt je niet de waarheid.
Het verschil zit in wat er daarna gebeurt. Wie houdt het nieuws in de gaten? Wie zet de update, en hoe snel? En wie belt jou als je site op een versie draait die geen update meer krijgt? Bij Netslim zijn dat wij.
De update van PHP is het echte antwoord. De rest zorgt dat je ook veilig bent in de uren eromheen, en dat er altijd een weg terug is.
Hoe het nu staat, zie je op onze statuspagina.
We volgen de meldingen van PHP zelf en van CERT-EU, de cyberdienst van de Europese Unie. Zo wisten we al een dag van tevoren dat de update eraan kwam.
Besturingssysteem, PHP en serverbeheer worden op onze servers automatisch bijgewerkt. Zodra de nieuwe PHP-versies voor onze servers klaarstaan, gaan ze erop. Je site hoeft daarvoor niet uit.
PHP 8.1 en ouder krijgen geen update meer. Draait jouw site daarop, dan nemen wij contact op en helpen we je over naar een veilige versie. Zelf wisselen kan ook, met één klik in je account.
Staat je site achter Netslim Edge, dan houdt een filter bekende aanvallen op dit lek tegen, nog voordat ze je server bereiken. Ook grote uploads worden doorzocht terwijl ze binnenkomen. Een extra slot, de update blijft het echte antwoord.
We maken dagelijks back-ups. Gaat er ooit toch iets mis, dan zetten we je site terug naar een versie van vóór het probleem.
De programmeertaal waar ongeveer 70 procent van alle websites op draait. WordPress, WooCommerce, Magento, Joomla en Drupal gebruiken allemaal PHP.
Via een gewoon verzoek over internet eigen code uitvoeren op de server. Dan kan hij de site overnemen en bij alle gegevens die erop staan.
Zodra de update uit is, zien criminelen ook waar het lek zat. Met AI schrijven ze daar in uren een aanval voor, waar dat vroeger dagen duurde.
De veilige versies zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12, uitgebracht op 21 oktober. PHP 8.1 en ouder krijgen van PHP zelf geen update meer. Die moeten over naar een nieuwere versie.
Het advies van CERT-EU: kun je niet meteen updaten, zet je site dan uit tot het wel kan. Dat geldt voor wie de update zelf moet zetten.
De lekken heten officieel CVE-2026-109618 en CVE-2026-109619, en worden samen PHP2Shell genoemd. Beide scoren 9,2 van de 10.
Wij verhuizen je site gratis en zonder downtime. Je ziet hem eerst op een testadres, daarna gaat de DNS om. We kijken meteen welke PHP-versie je site gebruikt, en zeggen het als die geen updates meer krijgt.
Gratis verhuizenNetslim Edge staat vóór je site en houdt bekende aanvallen tegen, ook als je site bij een andere hoster draait. De update van PHP moet je hoster dan nog wel zelf zetten.
Bekijk Netslim EdgeBeheer je zelf een server en wil je hulp met de update, of vertrouw je het niet helemaal? Wij kijken met je mee, en bij een vermoeden van een hack helpen we met voorrang.
Neem contact opNee. Het advies om uit voorzorg offline te gaan, is voor wie de update niet snel zelf kan zetten. Bij ons zetten wij hem. Draait je site op PHP 8.1 of ouder, dan nemen wij contact met je op.
Nee. De update gaat automatisch op al onze servers. Wil je zeker weten dat je site op een versie draait die updates krijgt, kijk dan in je account bij Hosting. Daar wissel je ook met één klik van PHP-versie.
Gebruik je WordPress, WooCommerce, Magento, Joomla of Drupal, dan wel. Een site die alleen uit losse HTML-bestanden bestaat, niet.
Bij Netslim in je account bij Hosting. Draait je site elders op WordPress, dan zie je het in WordPress bij Extra, Sitediagnose, Info, Server.
Nee. Updates horen bij je hosting, en wisselen van PHP-versie kost ook niets. Werkt je site niet goed op een nieuwere versie, dan zeggen we vooraf wat er nodig is.
Op onze statuspagina houden we bij wat er speelt. Heb je een vraag over jouw site, stuur ons een bericht of een WhatsApp.
Neem meteen contact op. Bij een vermoeden van een hack helpen we met voorrang, ook als je site niet bij ons draait. Verander niets aan de site voordat we gekeken hebben, zo blijven de sporen bewaard.
Bronnen: de aankondiging van het PHP-beveiligingsteam op php.net en het advies van CERT-EU. Officieel advies: php.net, 21 oktober 2026. Laatst bijgewerkt op 21 oktober 2026.
Het gesprek gaat mee naar WhatsApp, zodat je niets hoeft te herhalen.