PHP2Shell: is jouw website bijgewerkt?

Wat er gebeurde

Op 21 oktober 2026 bracht PHP een noodupdate uit voor twee kritieke beveiligingslekken, samen bekend als PHP2Shell. PHP is de programmeertaal onder een groot deel van alle websites: van WordPress tot webshops en maatwerk.

Via de lekken kon een aanvaller zonder in te loggen eigen code uitvoeren op een webserver. Daarmee kan hij in principe alles: de website aanpassen, gegevens meenemen of de server voor eigen doeleinden gebruiken.

Het extra vervelende: de details lekten een dag eerder al uit, nog voordat er een oplossing was. Beveiligingsbedrijven zagen direct dat er misbruik van werd gemaakt. Het Britse NCSC adviseerde organisaties zelfs om systemen die niet meteen bijgewerkt konden worden offline te halen.

Waarom dit jou ook raakt

Een website is geen folder die je één keer drukt. Het is software op een server, en software krijgt lekken. Of je site groot of klein is, maakt daarbij niet uit: aanvallers scannen automatisch het hele internet op zoek naar servers die nog niet bijgewerkt zijn.

Wat er dan kan gebeuren, is vaak onzichtbaar:

  • Bezoekers worden ongemerkt doorgestuurd naar oplichtingssites.
  • Klant- of formuliergegevens worden meegenomen.
  • Je server wordt gebruikt om cryptovaluta te minen. Dat merk je hooguit aan een trage site.

Gaat het om persoonsgegevens, dan heb je bovendien te maken met de meldplicht datalekken uit de AVG. Een lek in je website is dan al snel een lek in je bedrijf.

Drie vragen voor je webbouwer of hostingpartij 

Je hoeft geen techneut te zijn om te weten of je goed zit. Stel deze drie vragen aan wie je website beheert:

  1. Is mijn website rond 21 oktober bijgewerkt? De veilige PHP-versies zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12, of nieuwer. Krijg je geen helder antwoord, dan zegt dat ook iets.
  2. Draait mijn site op een PHP-versie die nog ondersteund wordt? PHP 8.1 en ouder krijgen geen officiële beveiligingsupdates meer. Voor PHP 8.2 stopt dat eind 2026.
  3. Wie houdt mijn site in de gaten, en hoe hoor ik het als er iets mis is? Updates, monitoring en backups moeten bij iemand belegd zijn. Weet je niet bij wie, dan is het waarschijnlijk bij niemand.

Hoe wij het bij Great aanpakten

Binnen enkele uren na de officiële release draaiden al onze servers op de gepatchte versies. Diezelfde avond hebben we:

  • per server gecontroleerd dat de nieuwe, veilige versie ook echt actief is;
  • een oude PHP-versie die geen officiële ondersteuning meer krijgt van de servers gehaald;
  • de servers extra afgeschermd met een strengere firewall;
  • monitoring aangescherpt, zodat we afwijkingen de komende tijd sneller zien.

Onze klanten hoefden hier niets voor te doen. Onderhoud en monitoring zitten standaard in onze hosting. Dat is wat wij bedoelen met full ownership: jij hoeft je er niet mee bezig te houden, wij wel.

Twijfel je over jouw website?

Weet je niet wie jouw website bijhoudt, of kreeg je op een van de drie vragen geen duidelijk antwoord? Neem gerust contact op. We kijken samen wat er nodig is, zonder verplichtingen.

Onze overtuiging: het beste antwoord is vaak het simpelste. Een goede website is er een waar je je geen zorgen over hoeft te maken.

Bel 0523 33 60 20 of mail ons via wijzijngreat.nl.

Roan Meijer