Wat speelt er
Twee lekken in PHP zelf, niet in één plugin
Op 20 oktober 2026 werden twee kritieke kwetsbaarheden in PHP bekendgemaakt, samen PHP2Shell genoemd. Ze krijgen een CVSS v4.0-score van 9,2 uit 10. In het ergste geval kan een aanvaller op afstand code uitvoeren op je webserver: klantgegevens inzien, je webshop aanpassen of je server misbruiken.
Omdat het lek in PHP zit, raakt het in principe elke site die erop draait: WordPress, WooCommerce, Magento en maatwerk.
Waarom versies onder 8.2 extra risico lopen: op 21 oktober om 16:00 verscheen de patch, maar alleen voor PHP 8.2 tot en met 8.5. Oudere versies krijgen geen beveiligingsupdates meer en blijven dus kwetsbaar. Daar helpt alleen een upgrade.
Bronnen: CVE-2026-109618 en CVE-2026-109619 (CVE.org), en het overzicht van ondersteunde PHP-versies.
- PHP 8.5 Beschikbaar
- PHP 8.4 Beschikbaar
- PHP 8.3 Beschikbaar
- PHP 8.2 Beschikbaar
- PHP 8.1 Geen patch
- PHP 8.0 Geen patch
- PHP 7.x en ouder Geen patch
Ook op 8.2 of hoger ben je pas veilig als je hostingpartij de update daadwerkelijk heeft geïnstalleerd. Dat controleren we.