Je WordPress-site en het PHP-lek: dit doe je vandaag

Is je WordPress gehackt door het PHP-lek van 21 oktober 2026? Aan de voorkant van je site zie je dat meestal niet. Wat je vandaag wel kunt doen: je hoster vragen of PHP is bijgewerkt, zelf je PHP-versie nakijken en daarna je wachtwoorden wisselen. Op "bijwerken" klikken in WordPress helpt hier niet. Het lek zit in PHP, en PHP staat bij je hoster.

Hieronder lees je wat er precies gebeurde, aan welke signalen je een gehackte site herkent en waar je bij de bekende Nederlandse hosters je PHP-versie vindt. Daarna: hoe je WordPress beveiligt voor de volgende keer, en de vraag of je PHP eigenlijk wel nodig hebt.

Wat er op 21 oktober 2026 met PHP gebeurde

Op 21 oktober ging de website van DigiD uit voorzorg offline, net als MijnOverheid en de site van de Tweede Kamer. Inloggen met DigiD bleef werken. De NOS schreef erover. De oorzaak was geen storing, maar twee lekken in PHP.

PHP is de software op de server die van een verzoek een webpagina maakt. WordPress draait erop, en Joomla, Drupal, Magento en Laravel ook. Door de lekken kan iemand met één verzoek code op je server uitvoeren, zonder in te loggen.

Het zit dit keer niet in een plugin of een thema, maar in PHP zelf.

Het lek zit er al zeker sinds 2012 in. De details lekten op 20 oktober uit, voordat de reparatie klaar was. Op 21 oktober om 15:52 Nederlandse tijd kwam de reparatie, met een bericht op php.net. Cloudflare zag tussendoor de eerste pogingen om het lek te misbruiken. Het NCSC had die middag nog geen actief misbruik vastgesteld.

Is mijn WordPress-site gehackt? Zo zie je het

Een gehackte site ziet er vaak gewoon normaal uit. Wie inbreekt, wil meestal niet opvallen. Dit zijn de signalen waar je op let:

• Beheerders die je niet kent onder Gebruikers in WordPress.
• Pagina's of bestanden die je niet zelf hebt gemaakt, bijvoorbeeld als je in Google zoekt op site:jouwdomein.nl en er vreemde titels tussen staan.
• Doorverwijzingen: bezoekers komen op een andere site terecht, soms alleen op de telefoon of via Google.
• Een waarschuwing van Google of je browser dat de site onveilig is.
• Een mail van je hoster dat er iets verdachts is gezien of dat je site is uitgezet.

Staat je site offline, schrik dan niet meteen. Uit voorzorg offline is iets anders dan gehackt. De overheid deed het met DigiD en MijnOverheid, en mijndomein meldde op 21 oktober dat het alle klantsites uit voorzorg offline had gehaald. Zie je geen van de signalen hierboven, dan is dat een goed teken. Een garantie is het niet: zekerheid geeft alleen een controle van de bestanden op de server.

Dit doe je vandaag, stap voor stap

1. Vraag het je hoster. Mail of bel en vraag of PHP op jouw pakket is bijgewerkt naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12. Linuxdistributies en leveranciers met langdurige ondersteuning kregen de reparatie vooraf, dus een hoster die zijn servers bijhoudt, is er vandaag mee bezig geweest.
2. Kijk zelf welke versie je hebt. In WordPress staat dat onder Gereedschap > Sitediagnose, tabblad Info. Bij andere systemen vind je het in je hostingpaneel, en soms kies je daar zelf een nieuwere versie. Waar dat zit per hoster, staat hieronder.
3. Staat er 8.1 of lager? Dan krijg je van PHP zelf geen gewone updates meer en moet je over. Dat was eigenlijk al zo. Sommige leveranciers repareren oude versies nog zelf, maar reken daar niet op zonder het na te vragen.
4. Kan je hoster nog niet bijwerken? PHP noemt tijdelijke instellingen die het risico verkleinen, zoals session.upload_progress uitzetten. Volgens PHP is alleen de update een echte oplossing. Die instellingen horen in de serverconfiguratie, dus dat regelt je hoster, niet jij.
5. Wissel je wachtwoorden, nadat PHP is bijgewerkt. Het advies na dit lek is om ervan uit te gaan dat de server misbruikt kan zijn. Denk aan WordPress, je hostingpaneel, FTP en de database.
6. Controleer je back-up. Is er een recente kopie van vóór 20 oktober, en staat die ergens anders dan op dezelfde server? Dan kun je terug als het toch mis blijkt.

PHP-versie controleren bij jouw hoster

Gebruik je WordPress, dan is de snelste weg: log in, ga naar Gereedschap > Sitediagnose en open het tabblad Info. Daar staat de PHP-versie van je server. Wil je hem wijzigen, dan doe je dat in het paneel van je hoster. Hieronder de bekende Nederlandse hosters, op basis van hun eigen helppagina's. Waar we het klikpad niet in die pagina's konden bevestigen, schrijven we het niet op.

• TransIP: kies bij Shared Hosting je domein, open het tabblad Geavanceerd en ga naar de PHP-instellingen. Daar kies je een versie en sla je op; volgens TransIP duurt dat ongeveer een kwartier. We zagen alleen de Engelstalige helppagina, dus de Nederlandse menunamen kunnen iets afwijken. TransIP biedt versies tot en met 8.4: vraag dus of de reparatie in hun eigen update zit.
• Antagonist: klikpad niet bevestigd. Vraag het de klantenservice.
• Hostnet: klikpad niet bevestigd. Ook hier is de klantenservice de snelste weg.
• Vimexx: geen actueel klikpad gevonden. Neem contact op met Vimexx.
• Strato: klikpad niet bevestigd. Vraag Strato of de reparatie op je pakket staat.
• Versio: het hangt af van je pakket. In DirectAdmin kies je je domein, dan Extra Features > Select PHP version, en klik je op Set as current. Bij Flexwebhosting ga je in de klantomgeving naar Domeinbeheer, kies je je domein en dan PHP Version Selector; bij First PHP kies je de versie en klik je op Save. In cPanel is het Software > Select PHP Version > Set as current.
• one.com: klikpad niet bevestigd. Neem contact op met one.com.
• Yourhosting: in Plesk ga je naar Websites & domeinen, kies je je domein en open je Tools > Details om de versie te zien. Wijzigen doe je via de PHP-instellingen: versie kiezen en op Toepassen klikken.
• mijndomein: in Plesk ga je naar Websites & domeinen, tabblad Dashboard. Onder Dev Tools staat bij PHP de actieve versie. Klik op PHP om een andere versie te kiezen in de keuzelijst en bevestig met OK of Toepassen.

Eerlijk gezegd is een mailtje aan je hoster vaak sneller dan zelf zoeken. De vraag die er vandaag toe doet, is of de reparatie erin zit. Dat zie je niet altijd aan het versienummer dat je in een keuzelijst kiest.

WordPress beveiligen voor de volgende keer

Dit lek zat in PHP zelf, daar kon je in WordPress weinig aan doen. Een goed onderhouden WordPress-site is daarna wel sneller weer veilig, en loopt minder risico bij de lekken die vaker voorkomen. Waar je op moet letten:

Updates, ook onder de motorkap. WordPress, thema's en plugins bijwerken spreekt voor zich. Vergeet de PHP-versie bij je hoster niet: kijk minstens een paar keer per jaar of je nog op een versie zit die updates krijgt.

Inloggen. Een sterk, uniek wachtwoord per account, en tweestapsverificatie voor iedereen met beheerrechten. Oud-medewerkers en eenmalige accounts van een bouwer horen er niet meer tussen te staan.

Back-ups buiten de server. Een kopie die op dezelfde server staat als je site, ben je kwijt als die server misbruikt wordt. Laat back-ups dus naar een andere plek schrijven en probeer af en toe of terugzetten lukt.

Minder plugins. Elke plugin is code van iemand anders die je moet bijhouden. Wat je niet gebruikt, verwijder je. Uitzetten is niet genoeg.

Iemand die het bijhoudt. Op een dag als 21 oktober wil je niet zelf uitzoeken wie je moet bellen. Dat kun je prima zelf organiseren, of uitbesteden. Wat er bij goed onderhoud komt kijken, lees je in ons artikel over website-onderhoud. Bij ons zit het in het onderhouds- en supportabonnement, vanaf €49/maand.

Heb je PHP eigenlijk nodig?

Voor een gewone bedrijfssite vaak niet. Een site met een paar pagina's, een contactformulier en je gegevens kan prima uit platte HTML, CSS en JavaScript bestaan. Daar draait geen PHP dat misbruikt kan worden, dus dit lek raakt zo'n site niet. Voorwaarde is wel dat je hoster PHP niet alsnog op je pakket laat meedraaien.

WordPress is wél logisch als je een webshop hebt, of als je veel zelf publiceert: elke week een nieuw bericht, een agenda die je zelf bijhoudt, meerdere mensen die teksten aanpassen. Dan weegt het gemak van een beheersysteem op tegen het onderhoud. Voor zelf beheren is er altijd een goede oplossing; het gaat erom dat iemand de techniek eronder bijhoudt.

Wij bouwen licht en schoon waar het kan. Snelheid is voor ons geen detail: elke seconde laadtijd kost bezoekers. Onze eigen site gebruikt geen framework en laadt onder de 2 seconden. Minder onderdelen betekent ook minder om bij te houden op dagen als deze. Twijfel je of je bestaande site het waard is om op te knappen, lees dan website verbeteren of vernieuwen. Wat een nieuwe site bij ons kost, staat bij de pakketten.

Terug naar boven