Het PHP-lek van oktober 2026: waarom we sites offline haalden

Op 21 oktober 2026 bracht PHP noodpatches uit voor twee kritieke lekken (CVE-2026-109618 en CVE-2026-109619, samen bekend als PHP2Shell). Een aanvaller kon zonder in te loggen code uitvoeren op de webserver. Voor PHP 7.3 en ouder kwam er geen patch. Wij haalden sites op verouderde PHP tijdelijk offline en zetten in twee dagen ruim 130 sites over op de gepatchte PHP 8.3.36.

Wat er aan de hand was

PHP is de taal waarop WordPress, OpenCart, Drupal en veel maatwerk draaien. Op 20 oktober kondigde het PHP-team een kritieke securityrelease aan voor de volgende dag. Beide lekken kregen CVSS-score 9,2 van 10. Volgens het PHP-team was er geen volledige tijdelijke maatregel: updaten was de enige veilige optie.

De patches kwamen voor PHP 8.2, 8.3, 8.4 en 8.5. Voor 7.4, 8.0 en 8.1 publiceerde het securityteam alleen broncode-aanpassingen voor wie zelf PHP compileert. Voor nog oudere versies kwam niets. Amazon zag al vier dagen vóór de patches aanvallers die de lekken probeerden te misbruiken.

Waarom we sites offline haalden

Een deel van de sites die wij beheren, draaide nog op PHP 5.6 tot 7.4. Dat zijn oudere webshops en maatwerk-applicaties die al jaren goed werkten, en waar upgraden daarom steeds werd uitgesteld. Die sites kregen geen patch, en ze waren aanvalbaar zonder wachtwoord.

De afweging was snel gemaakt: een site die een paar uur een onderhoudspagina toont, is beter dan een site waarop een aanvaller code draait. We zetten de kwetsbare sites op 21 oktober achter een onderhoudspagina en begonnen direct met overzetten.

Wat we in twee dagen deden

1. Inventarisatie. Per site: PHP-versie, framework, en of de code PHP 8 aankan.
2. Overzetten in groepen, buiten kantoortijd. Elke omzetting met een automatische meting ervoor en erna: statuscode, paginagrootte en titel. Week de pagina af, dan ging de site terug en keken we handmatig.
3. Code aanpassen waar PHP 8 strenger is. Functies die niet meer bestaan, count() op lege waarden, oude database-drivers, afbeeldingsbibliotheken die stil niets meer deden.
4. Terug online. Aan het eind van 21 oktober draaiden 126 sites op PHP 8.3.36, op 23 oktober 134. De laatste paar applicaties die niet meer te redden waren, zijn bewust uitgeschakeld.
5. Nacontrole. Logs nalopen op verdachte verzoeken en gewijzigde bestanden, en dagelijkse back-ups naar externe opslag ingericht.

Wat we ervan leerden

• Verouderde software is geen later-probleem. Zolang alles werkt, voelt een upgrade als kosten zonder opbrengst. Op de dag dat er een lek komt, heb je geen tijd meer om te plannen.
• Een end-of-life-versie krijgt geen noodpatch. Dat geldt voor PHP, maar net zo goed voor Umbraco 13 na 14 december 2026 en PHP 8.2 na 31 december 2026.
• Offline halen is een geldige securitymaatregel. Mits je het snel en netjes doet, met een duidelijke melding voor bezoekers.
• Meet voor en na elke wijziging. Zonder automatische meting had één kapotte site tussen de 130 dagen onopgemerkt kunnen blijven.

Wat dit betekent voor jouw WordPress-site

WordPress draait op PHP. Een WordPress-site op een hosting met PHP 7.4 had op 21 oktober dus geen patch. Check bij je hoster op welke PHP-versie je site draait; PHP 8.2 loopt eind dit jaar zelf ook af. Weet je het niet, of wil je dat iemand het voor je bijhoudt: dat doen we voor WordPress en Umbraco.

Bronnen: php.net, releases en advisory van 21 oktober 2026, BleepingComputer. Gepubliceerd op 10 november 2026.