Kritieke PHP kwetsbaarheden ontdekt: Direct patch-stappenplan voor het MKB

Er zijn twee kritieke beveiligingslekken bekendgemaakt in de core van PHP (CVE-2026-109618 en CVE-2026-109619). Beide kwetsbaarheden hebben een maximale risicoscore van 9.2 (CVSS v4.0) gekregen.

Aangezien meer dan 75% van alle websites wereldwijd (inclusief Content Management Systemen zoals WordPress) draait op PHP, vormt dit een direct risico voor veel MKB-bedrijven. Door deze lekken kunnen ongeautoriseerde cybercriminelen op afstand willekeurige code uitvoeren op de webserver (Unauthenticated Remote Code Execution / RCE). Alle web-omgevingen (inclusief PHP-FPM, Apache mod_php, FrankenPHP en LiteSpeed) worden hierdoor geraakt.

In dit artikel leggen we uit welke versies veilig zijn, hoe je binnen WordPress zelf je PHP-versie controleert én welke stappen je moet ondernemen.

Welke PHP-versies zijn veilig? (Officiële Patches)

Het PHP Development Team heeft op 21 oktober 2026 officiële beveiligingsupdates uitgebracht. Draait jouw webserver op PHP, zorg dan dat je direct geüpdatet bent naar of voorbij de onderstaande veilige releases:

• PHP 8.5-tak: Update naar PHP 8.5.12 of hoger
• PHP 8.4-tak: Update naar PHP 8.4.27 of hoger
• PHP 8.3-tak: Update naar PHP 8.3.36 of hoger
• PHP 8.2-tak: Update naar PHP 8.2.35 of hoger
• Verouderde PHP-versies (PHP 8.1, 8.0, 7.4 en ouder): Deze ontvangen vanuit het PHP-project geen officiële ondersteuning meer (End of Life). Tenzij je Linux-distributie of hostingpartij backported patches levert, is direct upgraden naar een ondersteunde PHP-versie dringend vereist.

Hoe controleer je dit binnen WordPress (Zonder Servertoegang)?

Beheer je zelf geen VPS of server, maar draai je wel een WordPress-website? Dan kun je je huidige PHP-versie heel eenvoudig in een paar klikken achterhalen binnen het WordPress-dashboard:

1. Log in op je WordPress-omgeving als Administrator.
2. Ga in het linkermenu naar Gereedschap (Tools) ➔ Sitediagnose (Site Health).
3. Klik bovenaan op het tabblad Info.
4. Scroll naar beneden en klap het onderdeel Server open.
5. Zoek naar de regel PHP-versie.

Wat zie je daar staan?

Zie je daar bijvoorbeeld PHP 8.3.20 of PHP 8.2.14 staan? Dan draait jouw site op een kwetsbare PHP-versie en moet de hostingprovider of IT-beheerder de PHP-engine van je pakket direct updaten naar de nieuwste patch!

Stappenplan: PHP kwetsbaarheden in het MKB oplossen

1. Controleer je PHP-versie (WordPress of Server): Gebruik de Sitediagnose-route in WordPress (Gereedschap ➔ Sitediagnose ➔ Info ➔ Server) of log in op het beheerpaneel van je webhosting (bijv. cPanel, DirectAdmin, Plesk of Proxmox/Linux CLI).
2. Vraag direct een update aan bij je Hostingpartij of MSP: Beheer je de server niet zelf? Stuur direct een melding naar de helpdesk van je hostingprovider of IT-dienstverlener met het verzoek om het PHP-pakket te patchen naar minimaal PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12.
3. Eigen Server / VPS patchen: Als je zelf je server beheert, voer dan direct een update uit via je package manager (bijv. apt update && apt upgrade op Linux) en herstart PHP-FPM of je webserver.
4. Borg NIS2 en ISO 27001 Naleving: Binnen de NIS2-richtlijn MKB toeleverancier is tijdig patchbeheer (patch management) een expliciete verplichting. Het snel verhelpen van kritieke lekken (CVSS 9.2) voorkomt dat je bij een incident aansprakelijk gesteld wordt door opdrachtgevers.

Conclusie: Wacht niet tot je website gecompromitteerd is

Omdat RCE-kwetsbaarheden zoals CVE-2026-109618 en CVE-2026-109619 geautomatiseerd door bots worden gescand, is snel handelen essentieel. Controleer vandaag nog de status via je WordPress-dashboard.

Wil je de veiligheid en PHP-versie van jouw zakelijke WordPress-website of serveromgeving laten controleren? Neem vrijblijvend contact op met Delight IT voor een snelle veiligheids- en patchcheck.