*Laatst bijgewerkt: 21 oktober 2026, 17:15*
Er zijn twee kritieke kwetsbaarheden in PHP bekend geworden, de programmeertaal waarop onder meer WordPress, Joomla, Drupal en Magento draaien. Het PHP-beveiligingsteam heeft vandaag een patch uitgebracht. Wij hebben die direct geïnstalleerd op de PHP-omgevingen die wij beheren. In dit bericht leest u wat er speelde, wat wij hebben gedaan en wat u zelf kunt doen.
Wat is er aan de hand?
Het gaat om twee lekken in PHP zelf, bekend als CVE-2026-109618 en CVE-2026-109619. Beide hebben de officiële ernstscore 9.2 (kritiek). Een aanvaller kan er mogelijk eigen code mee uitvoeren op de webserver.
De details zijn op 20 oktober uitgelekt, een dag vóór de geplande bekendmaking. Beveiligingsbedrijf Patchstack meldt dat er al misbruik wordt gezien bij meerdere hostingpartijen. Wij gaan ervan uit dat aanvallers actief zoeken naar sites die nog niet zijn gepatcht.
Wie is geraakt?
Omdat het lek in PHP zit en niet in een plugin of thema, is elke website op een kwetsbare PHP-versie geraakt. Dat geldt voor WordPress, maar ook voor Joomla, Drupal, Magento, Laravel en eigen PHP-toepassingen.
Alleen de ondersteunde versies (PHP 8.2 en hoger) krijgen een patch. Draait uw site op PHP 7, 8.0 of 8.1, dan is er waarschijnlijk geen oplossing en is een upgrade naar een nieuwere versie nodig.
Wat heeft Universal.Cloud gedaan?
- Platform uit voorzorg uitgeschakeld: in lijn met het advies van de overheid hebben we ons WordPress-platform tijdelijk uitgeschakeld tot de patch beschikbaar was. Klanten hebben we hierover per mail geïnformeerd.
- Direct gepatcht: zodra de patch uitkwam, hebben we die geïnstalleerd op alle PHP-omgevingen die wij voor klanten beheren. Daarna zijn de WordPress-sites weer online gezet.
- Oudere PHP-versies: draait een door ons beheerde omgeving op een versie zonder patch, dan nemen wij contact met u op over een upgrade.
- Onze eigen website en sites op uCompose: die zijn statisch en draaien niet op PHP. Ze zijn niet geraakt.
Wat kunt u zelf doen?
- Wordt uw site niet door ons beheerd? Vraag uw hostingpartij of de patch al is geïnstalleerd, ook op test- en stagingomgevingen.
- Controleer uw PHP-versie. In WordPress ziet u dit onder *Hulpmiddelen > Sitestatus > Info > Server*. Draait u PHP 8.1 of ouder, plan dan een upgrade.
- Let op ongebruikelijke wijzigingen op uw website, zoals onbekende gebruikers, pagina's of plugins, en meld die bij ons.
- Gebruik geen onofficiële "fix"-plugins of gekopieerde codefragmenten. Alleen de officiële patch lost het lek op.
- Gebruikt u UpdraftCentral? Los van dit PHP-lek worden gestolen UpdraftCentral-sleutels misbruikt om backdoors in WordPress-sites te plaatsen. Verwijder bestaande sleutels en maak zo nodig nieuwe aan.
Ons advies: stap over op een statische website
De patch lost dit lek op, maar het volgende lek in PHP, WordPress of een plugin komt er zeker. Elke keer betekent dat opnieuw patchen, risico lopen en soms zelfs offline gaan. Ons advies blijft daarom om over te stappen op een statische HTML-website. Een statische site heeft geen PHP, geen database en geen plugins, en daarmee ook geen van deze aanvalsmogelijkheden. Lees waarom statische websites inherent veiliger zijn dan een CMS.
Met uCompose beheert u zo'n statische website zelf: u beschrijft wijzigingen in gewone taal en publiceert met één klik. Universal.Cloud zet uw huidige website om naar deze veilige omgeving, gegarandeerd binnen 48 uur en vaak binnen één dag. De afgelopen weken deden we dat onder meer voor een bouwbedrijf, een logistieke organisatie, een consultancybureau en een retailorganisatie. Lees hoe we WordPress omzetten naar een statische website in één dag.
Vragen?
Twijfelt u of uw website kwetsbaar is, of wilt u overstappen naar een statische website? Neem contact op met onze servicedesk via support@universal.cloud.
