PHP-beveiligingslek: wat het betekent voor jouw koppelingen en applicaties
Laatste update: woensdag 21 oktober 2026, 13:45 uur
Er is een ernstig beveiligingslek bekend in PHP, de techniek waarop veel webapplicaties, portalen en koppelingen draaien. Op deze pagina lees je wat er speelt, wat wij doen voor de applicaties die wij bouwen en beheren, en wat je zelf kunt doen. Je hoeft zelf niets te doen en je hoeft ons niet te bellen. Moet er iets met jouw applicatie gebeuren, dan nemen wij contact met je op. We werken deze pagina bij zodra er nieuws is.
Wat is er aan de hand?
Het beveiligingsteam van PHP heeft op 20 oktober twee kritieke kwetsbaarheden aangekondigd, allebei met een risicoscore van 9,2 op 10. PHP maakt de details pas bij de release bekend (bron: php.net).
Dit speelt wereldwijd. Ongeveer zeventig procent van alle websites draait op PHP. Verschillende organisaties in Nederland hebben hun websites vandaag uit voorzorg tijdelijk offline gehaald.
Wanneer komt de oplossing?
PHP brengt vandaag, woensdag 21 oktober, om 16:00 uur Nederlandse tijd een beveiligingsupdate uit. Als details over de lekken eerder openbaar worden, kan dat ook eerder. Welke versies getroffen zijn en welke een update krijgen, maakt PHP pas bij de release bekend (bron: php.net).
Op dit moment ondersteunt PHP de versies 8.2 tot en met 8.5. Oudere versies worden niet meer ondersteund (bron: php.net).
Tot die tijd zijn er tijdelijke beschermingsmaatregelen genomen op de servers waarop onze omgevingen draaien. Die verkleinen het risico, maar sluiten het niet volledig uit. Alleen de officiële update van PHP lost het lek echt op.
Wat wij doen
- Volledig overzicht: van iedere omgeving die wij bouwen en beheren weten we op welke PHP-versie die draait. Zo weten we precies waar we als eerste moeten zijn.
- Tijdelijke bescherming: op de servers zijn tijdelijke maatregelen genomen om het risico te verkleinen tot de update er is.
- Extra afscherming waar nodig: omgevingen met een verhoogd risico schermen we tijdelijk af. Dat doen we in overleg met jou.
- Update direct na verschijnen: zodra PHP de update uitbrengt, installeren we die en controleren we iedere omgeving.
Moet alles offline?
Niet per se. Of een omgeving offline moet, hangt af van de PHP-versie, de manier waarop die is ingericht en welke gegevens erin staan. Voor de meeste omgevingen volstaan de tijdelijke maatregelen tot de update. Waar dat niet zo is, nemen we contact met je op. Twijfel je, of wil je jouw applicatie uit voorzorg toch tijdelijk offline halen? Laat het ons weten, dan regelen we dat samen met je.
Wat kun je zelf doen?
- Niets aanpassen: je hoeft zelf niets aan je website of applicatie te veranderen.
- Andere hostingpartij: wordt je omgeving gehost bij een andere partij dan via ons? Vraag die partij dan welke maatregelen zij nemen.
- Alert blijven: zie je iets ongebruikelijks, zoals vreemde meldingen, onbekende gebruikers of onverwachte wijzigingen? Laat het ons direct weten.
Veelgestelde vragen
Is mijn website of applicatie gehackt?
Het lek maakt een aanval mogelijk. Het betekent niet dat jouw omgeving is aangevallen. Na de update controleren we de omgevingen. Zien we iets afwijkends, dan hoor je dat direct van ons.
Mijn omgeving draait op een oudere versie van PHP. Wat nu?
Versies ouder dan PHP 8.2 worden door PHP niet meer ondersteund. Of daar toch een update voor komt, maakt PHP bij de release bekend. Draait jouw omgeving daarop, dan nemen we contact met je op over een upgrade en, waar nodig, tijdelijke afscherming.
Wanneer is mijn omgeving weer veilig?
Zodra de update is geïnstalleerd en gecontroleerd. We verwachten de meeste omgevingen vanavond of morgenochtend bij te werken.
Iets ongebruikelijks gezien of liever contact?
Mail ons dan op helpdesk@exapps.nl en beschrijf wat je ziet of wat je vraag is. Liever op een andere manier contact? Kijk dan op onze contactpagina. Voor de laatste stand van zaken: deze pagina houden we actueel.
Bronnen
- PHP: Upcoming Critical PHP Security Release (php.net, 20 oktober 2026)
- PHP: Supported Versions (php.net)
