In PHP, de programmeertaal waarop onder meer WordPress en WooCommerce draaien, zitten twee kritieke lekken. Een aanvaller kan daarmee zonder inloggen code uitvoeren op een server die vanaf internet bereikbaar is. Het Nationaal Cyber Security Centrum (NCSC) waarschuwde op 21 oktober en noemt alle versies vanaf PHP 5 kwetsbaar. Dezelfde dag bracht het PHP-project updates uit op php.net.
Volgens het NCSC is er een openbare proof of concept, maar was er bij de waarschuwing nog geen actief misbruik gezien. Een eenvoudig verzoek aan de server kan genoeg zijn. Het NCSC beschouwt elk systeem met PHP dat vanaf internet bereikbaar is als vermoedelijk kwetsbaar zolang het niet is bijgewerkt. De lekken zijn bekend als CVE-2026-109618 en CVE-2026-109619.
De bijgewerkte versies zijn volgens de aankondiging op php.net 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP 8.1 en ouder krijgen officieel geen updates meer; voor 7.4, 8.0 en 8.1 bestaan alleen beperkte reparaties. PHP adviseert updaten als enige volledige oplossing. Tijdelijke maatregelen in de instellingen verkleinen het risico, maar maken een server niet veilig. Let ook op: PHP 8.2 krijgt na 31 december 2026 geen updates meer.
Wat betekent dit voor jou?
Heb je een website of webshop op WordPress of WooCommerce bij een hostingbedrijf, dan draait die op PHP. Of je veilig bent, hangt af van de PHP-versie die je host gebruikt en of die al is bijgewerkt. Draai je nog op PHP 8.1 of ouder, dan krijg je geen officiële update.
Gebruik je een dienst waarbij de aanbieder de servers beheert, dan moet die aanbieder de update doorvoeren. Het NCSC zegt: wie van een leverancier afhankelijk is, wacht op de update van die leverancier.
Wat kun je nu doen?
- Kijk in het controlepaneel van je hosting welke PHP-versie je site gebruikt. Vraag je host of de update van 21 oktober al is geĂŻnstalleerd.
- Zit je op PHP 8.1 of ouder, stap dan over naar 8.3 of hoger. Test eerst of je thema en plugins dat aankunnen en maak vooraf een back-up.
- Werk ook WordPress, WooCommerce en je plugins bij. Tips voor het onderhoud staan in de WooCommerce-review.
- Wil je geen servers en PHP-versies meer bijhouden, vergelijk dan een gehost platform in WooCommerce of Shopify.