← Alle inzichten

De PHP-noodpatch van 21 oktober: vier vragen voor uw webpartner

Jacques Domenie · 21 oktober 2026 · 4 min lezen

Bijgewerkt op 21 oktober 2026, na de release van PHP om 16.00 uur.

Op 20 oktober las ik de aankondiging van het PHP-beveiligingsteam: twee kritieke kwetsbaarheden, een noodrelease op 21 oktober om 16.00 uur. Daarna pakte ik de lijst met ondersteunde versies erbij, en één detail bleef hangen. Versies die PHP niet meer ondersteunt, krijgen geen officiële update. Bij veel middelgrote bedrijven zit PHP in een laag die het bedrijf zelf nooit ziet: die laag beheert een webbureau, hostingpartij of IT-dienstverlener. Het risico blijft wel bij het bedrijf. Daarom is er één ding te doen: stuur uw webpartner vier vragen en leg de antwoorden vast in uw leveranciersregister.

Waar PHP bij u zit

PHP is de programmeertaal achter ongeveer 70% van de websites waarvan de taal bekend is. In een middelgroot bedrijf draait PHP meestal onder de bedrijfswebsite (vaak WordPress), de webshop (WooCommerce, Magento, Shopware), het klant- of dealerportaal en het intranet. Ook beheerpanelen van hostingpartijen en apparatuur van leveranciers gebruiken PHP. U ziet daar niets van.

Wat PHP heeft bevestigd

De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens PHP maken de twee lekken unauthenticated remote code execution mogelijk. In gewone woorden: iemand op internet kan zonder in te loggen eigen opdrachten laten uitvoeren op de server onder uw website. Het geldt voor elke PHP-installatie die webverzoeken afhandelt. PHP schat het risico het hoogst in bij Apache met mod_php: daar is een aanval aangetoond die werkt nog vóór de code van uw website draait.

Dat betekent: een update van WordPress of een plugin lost dit niet op. PHP zelf moet worden bijgewerkt, en dat doet uw partner, niet uw marketingafdeling. Volgens PHP is bijwerken de enige veilige keuze; tijdelijke instellingen maken een installatie niet veilig.

Over misbruik is nog weinig zeker. Op 21 oktober meldden Patchstack (via hostingpartijen) en Cloudflare de eerste aanvallen; onafhankelijk bevestigd is dat nog niet. Het NCSC haalde op 21 oktober uit voorzorg de eigen website ncsc.nl tijdelijk offline. Details lekten al vóór de afgesproken datum uit, dus aanvallers hadden een voorsprong.

Het detail dat bleef hangen

Wie een oude PHP-versie draait, krijgt geen officiële update. PHP ondersteunt de versies 8.2 tot en met 8.5. Voor 7.4, 8.0 en 8.1 publiceerde het beveiligingsteam vanwege de ernst wel een minimale reparatie in broncode, voor wie PHP zelf bouwt. Daarnaast leveren sommige Linux-distributies en leveranciers met langdurige ondersteuning zelf een gerepareerde versie. Voor nog oudere versies biedt PHP niets.

Dat is geen randgeval. Volgens W3Techs draait 27,0% van de PHP-sites op PHP 7 en 7,7% op PHP 5. Bijna 35% van de PHP-sites draait dus een hoofdversie zonder officiële update. Met de sites op PHP 8.0 en 8.1 erbij gaat het om bijna de helft.

Het tweede detail is minder zichtbaar. PHP 8.2 krijgt nog beveiligingsupdates tot 31 december 2026, tien weken na deze patch. Een site die nu netjes op 8.2 wordt bijgewerkt, staat in januari voor dezelfde vraag.

Waarom dit een leveranciersvraag is

U draait PHP niet zelf, maar het risico is wel van u. Als de webshop stilvalt of klantgegevens weglekken, is dat uw probleem en niet dat van het webbureau. Weet u uit uw hoofd welke PHP-versie onder uw webshop draait, en wat uw contract zegt over hoe snel uw partner patcht? Zo niet, dan zit daar het gat.

Een webfirewall is volgens onderzoekers hooguit een noodverband, en PHP zegt zelf dat er geen volledige alternatieven voor bijwerken zijn. Een antwoord als "we hebben een firewall ervoor" is dus geen volledig antwoord.

De vier vragen

Stuur deze vragen naar uw webbureau, hostingpartij of IT-dienstverlener:

  1. Welke PHP-versie draait op elk van onze sites en systemen: website, webshop, portalen, intranet en beheerpanelen?
  2. Wanneer draaien onze sites op PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (of een gerepareerde versie van uw leverancier), en hoe bevestigt u dat aan ons?
  3. Wat gebeurt er met onze sites op PHP 8.1 of ouder, die geen officiële update krijgen: een gerepareerde versie, upgraden, afschermen of offline halen? En wat is het plan voor sites op 8.2 vóór 31 december?
  4. Hoe merkt u het als een van onze servers is misbruikt, en binnen hoeveel uur laat u het ons weten?

Zet de antwoorden in uw leveranciersregister: de lijst van leveranciers met wat elke leverancier voor u beheert. Per site is één regel genoeg: leverancier, PHP-versie, datum van de patch, plan voor het einde van de ondersteuning en het contact bij een incident.

En de Cyberbeveiligingswet?

Valt uw bedrijf onder de Cyberbeveiligingswet (Cbw), dan horen leveranciersbeveiliging en het afhandelen van kwetsbaarheden bij uw zorgplicht. Een significant incident meldt u dan met een eerste waarschuwing binnen 24 uur. Vraag 4 bepaalt of u die termijn kunt halen. Valt uw bedrijf niet onder de Cbw, dan zijn de vragen precies dezelfde. Wat de wet van bestuurders zelf vraagt, staat in mijn stuk over artikel 24 Cbw.

Weet u, zonder iemand te bellen, welke PHP-versie onder uw webshop draait?

Jacques Domenie leidde de IT-functie van een bank onder toezicht van de centrale bank, en de enterprise-architectuur bij twee industriële bedrijven. Via Delfen werkt hij een deel van de week voor organisaties.

Contact: domenie@delfen.com of delfen.com/nl/contact.

Bronnen

Herkent u dit vraagstuk in uw eigen organisatie? Dan is dat een gesprek waard.

Neem contact op