De afgelopen dagen was er veel aandacht voor twee ernstige beveiligingslekken in PHP. Verschillende websites, waaronder die van de overheid, werden uit voorzorg tijdelijk offline gehaald. Wat is er precies aan de hand en moet je je zorgen maken over je eigen website?

Wat is PHP eigenlijk?

PHP is een programmeertaal die achter de schermen van heel veel websites wordt gebruikt. Ook WordPress, het systeem waarmee ik websites bouw en beheer, maakt gebruik van PHP.

Je ziet PHP niet direct, maar het zorgt er bijvoorbeeld voor dat formulieren werken, bezoekers kunnen inloggen en informatie uit een database wordt opgehaald.

Wat was er aan de hand?

Op 21 oktober 2026 werden twee kritieke kwetsbaarheden in PHP bekendgemaakt. Hierdoor zouden kwaadwillenden onder bepaalde omstandigheden toegang kunnen krijgen tot webservers en daar schadelijke code kunnen uitvoeren. Het Nationaal Cyber Security Centrum (NCSC) sloeg alarm en adviseerde om beschikbare beveiligingsupdates zo snel mogelijk te installeren. Verschillende organisaties haalden hun websites tijdelijk offline om risico’s te voorkomen. Inmiddels zijn de noodzakelijke beveiligingsupdates beschikbaar.

En hoe zit het met websites die ik host?

Voor de websites die ik via stom! host, maak ik gebruik van hostingprovider TransIP. TransIP heeft afgelopen woensag 21 oktober de webhostingservers direct voorzien van de noodzakelijke beveiligingsupdates. Ook voor oudere PHP-versies die TransIP nog aanbiedt, zijn de specifieke kwetsbaarheden verholpen.

Dat betekent dat websites op de webhostingservers van TransIP tegen deze twee kwetsbaarheden zijn beschermd. Je hoeft daarvoor zelf niets te doen.

En als jouw website niet bij TransIP wordt gehost?

Dan is het verstandig om te controleren of jouw hostingprovider de noodzakelijke beveiligingsupdates voor PHP inmiddels heeft uitgevoerd. Veel hostingproviders regelen dit automatisch, maar het is goed om daar niet zomaar van uit te gaan. Kijk op de website van je hostingprovider of neem contact op met de klantenservice als je twijfelt. Let op: alleen overstappen naar een nieuwere PHP-versie is niet altijd voldoende. Het gaat er vooral om dat de kwetsbaarheden daadwerkelijk zijn verholpen. En weet je niet precies hoe jouw website is gehost of wat je moet controleren? Neem gerust contact met me op, dan kijk ik even met je mee.

Wat doe ik zelf?

Hoewel TransIP verantwoordelijk is voor het beheer en de beveiliging van de hostingservers, houd ik de ontwikkelingen zelf ook nauwlettend in de gaten. Daarnaast blijf ik aandacht besteden aan het actueel houden van WordPress, thema’s en plugins. Want een goed beveiligde hostingomgeving is belangrijk, maar ook de software van je website moet veilig en up-to-date blijven.

Geen paniek, wel blijven opletten

Dit soort berichten kunnen behoorlijk verontrustend zijn, zeker als je voor je onderneming of organisatie afhankelijk bent van je website. Gelukkig laat deze situatie ook zien waarom het belangrijk is om met een betrouwbare hostingprovider te werken die snel reageert op beveiligingsproblemen.

Heb je een website die ik beheer? Dan hoef je naar aanleiding van deze PHP-kwetsbaarheid op de webhosting van TransIP zelf geen actie te ondernemen.

En heb je toch vragen? Neem gerust contact met me op.