# Is mijn website getroffen door het PHP-lek? Zo check je het | Fokuus [Home](https://fokuus.be/) [Blog](https://fokuus.be/blog/) Is mijn website getroffen door het PHP-lek? Zo check je het # Is mijn website getroffen door het PHP-lek? Zo check je het Raakt het PHP-lek van oktober 2026 jouw website? In vijf stappen check je of je site op PHP draait, welke versie, of je host al patchte en of er sporen zijn. [Anton Pycarelle](https://fokuus.be/about/) 22 oktober 20267 min leestijd ## In dit artikel - [Stap 1: kijk of je site op PHP draait](https://fokuus.be/#stap-1-kijk-of-je-site-op-php-draait) - [Stap 2: zoek je PHP-versie op](https://fokuus.be/#stap-2-zoek-je-php-versie-op) - [Stap 3: vraag je host of het al bijgewerkt is](https://fokuus.be/#stap-3-vraag-je-host-of-het-al-bijgewerkt-is) - [Stap 4: zoek naar sporen van een inbraak](https://fokuus.be/#stap-4-zoek-naar-sporen-van-een-inbraak) - [Stap 5: twijfel je, werk dan in deze volgorde](https://fokuus.be/#stap-5-twijfel-je-werk-dan-in-deze-volgorde) - [Wanneer je het mag afvinken](https://fokuus.be/#wanneer-je-het-mag-afvinken) Je las het nieuws over een kritiek lek in PHP en je vraagt je af of het over jouw website gaat. Misschien weet je niet eens of je site op PHP draait, laat staan welke versie. Dat zoek je uit in vijf stappen, en voor de eerste twee heb je weinig technische kennis nodig. Het PHP-project bracht op 21 oktober de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit, die twee kritieke lekken dichten. Volgens [php.net](https://www.php.net/archive/2026.php#2026-10-21-5) loopt elke PHP-installatie die webverzoeken afhandelt risico, en is bijwerken de enige volledige oplossing. Wat er precies gebeurde, lees je in [ons stuk over PHP2Shell](https://fokuus.be/blog/php2shell-php-lek/) . Geraakt of niet: de vijf stappen hieronder, samengevat in twee vragen. ## Stap 1: kijk of je site op PHP draait PHP is de programmeertaal achter onder meer WordPress, WooCommerce, Joomla, Drupal, Magento, PrestaShop en Craft CMS. Een statische site bestaat uit kant-en-klare bestanden en heeft geen PHP nodig. Bij een gehoste sitebouwer zoals Wix of Shopify beheert de leverancier de servers, en ligt het bijwerken bij hen. Weet je niet waarop je site gebouwd is, kijk dan in de offerte of factuur van je webbouwer: vaak staat er gewoon "WordPress" in. Of surf naar jouwdomein.be/wp-admin/. Krijg je een WordPress-loginscherm, dan heb je je antwoord. Een foutpagina bewijst niets: sommige WordPress-sites verbergen dat adres met een plugin zoals [WPS Hide Login](https://wordpress.org/plugins/wps-hide-login/) , en ook Joomla of Drupal draaien op PHP. Sommige servers tonen PHP ook in hun headers, als `x-powered-by: PHP/8.3.x`; hoe je die bekijkt, staat in [onze uitleg over hosting](https://fokuus.be/blog/wat-is-hosting/) . Ontbreekt die regel, dan zegt dat evenmin iets. Op onze eigen site gaf fokuus.be/wp-admin/ op 22 oktober om 11.37 uur een 404, zonder spoor van PHP in de headers. Die test alleen bewijst weinig. Wat telt, is hoe de site gebouwd is: fokuus.be is een statische site op Netlify, zonder PHP die bezoekers bedient, dus voor dit lek valt er bij ons niets te patchen. ## Stap 2: zoek je PHP-versie op Welke PHP-versie je website gebruikt, zie je in WordPress onder Tools > Websitediagnose > Info > Server, op de regel PHP versie. In het Nederlands van Nederland heten die schermen Sitediagnose en Informatie. Je hebt er een beheerdersaccount voor nodig. Veel hosts tonen de versie ook in hun controlepaneel; bij Combell staat ze bij de [PHP instellingen](https://www.combell.com/nl/help/kb/hoe-kan-ik-php-versie-en-instellingen-wijzigen/) van je webhosting. Zie je daar alleen een reeks zoals 8.3, vraag dan het volledige nummer of kijk in WordPress. Vergelijk wat je ziet met de gepatchte versies: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Zie je dat nummer of een hoger binnen dezelfde reeks, bijvoorbeeld 8.3.37, dan zit de fix erin. Een lager nummer betekent niet automatisch dat je kwetsbaar bent. Volgens [php.net](https://www.php.net/archive/2026.php#2026-10-21-5) bouwen sommige Linux-distributies en leveranciers de fix zelf in hun eigen pakketten in, ook voor oudere reeksen. Je ziet dan een lager nummer, terwijl de fix er wel in zit. Vraag het dan na (stap 3). Zie je 8.1 of ouder, dan krijgt die versie geen updates meer van het PHP-project: voor 7.4 tot en met 8.1 kwamen er alleen aanpassingen in de broncode, dus of jouw server de fix heeft, hangt af van je host. Overstappen naar een nieuwere versie is dan werk voor nu, ook als je host de fix inbouwde (op 8.2 heb je [tot eind december](https://www.php.net/supported-versions.php) ); hoe je dat aanpakt, staat in [onze checklist](https://fokuus.be/blog/php-wordpress-site-beveiligen/) . ## Stap 3: vraag je host of het al bijgewerkt is Bij gedeelde hosting, het gewone webhostingpakket, kan je PHP niet zelf bijwerken. Je kiest in het controlepaneel hoogstens welke versie je site gebruikt; de beveiligingsupdate installeert je host op zijn servers. Kijk eerst op de statuspagina van je host en in je mailbox. Heb je gedeelde hosting bij Combell, dan staat je antwoord in [het incident op zijn statuspagina](https://status.combell.com/nl/incident-yxm55r) . Volgens de update van 21 oktober, 20.46 uur, zijn op de gedeelde hostingclusters alle PHP-versies van 5.6 tot en met 8.5 gepatcht, en is het cloudnetwerk zo goed als volledig bijgewerkt, op enkele uitzonderingen na (stand op 22 oktober, 11.56 uur). Vind je niets, mail of bel dan en vraag het concreet: "Draait de webhosting van jouwdomein.be op een PHP-versie met de fixes voor CVE-2026-109618 en CVE-2026-109619, of zijn die fixes ingebouwd in mijn versie? Zo niet, wanneer wel? En krijgt die versie nog beveiligingsupdates?" Met de CVE-nummers erbij weet een helpdesk meteen waarover het gaat. Heb je een eigen server of VPS, dan ligt het bijwerken bij wie die beheert, en dat is niet altijd je host. Draait die server op een versie ouder dan 8.2, dan raadt [WordPress.org](https://wordpress.org/news/2026/10/critical-php-security-release/) aan om te overwegen hem offline te halen terwijl je de update voorbereidt. ## Stap 4: zoek naar sporen van een inbraak Een gedicht lek zegt niets over wat er vóór de patch gebeurde. Of je website gehackt is, lees je niet op één plek af: sommige inbraken verraden zich via Google, je browser of je host, andere alleen via bestanden, pagina's of gebruikers die je niet zelf aanmaakte. Concreet: - Het rapport Beveiligingsproblemen in Google Search Console toont het als Google vaststelt dat je site gehackt is of bezoekers kan schaden, met voorbeeld-URL's en de datum waarop Google het probleem voor het eerst vond. Is er niets, dan zie je een groen vinkje ([Google](https://support.google.com/webmasters/answer/9044101?hl=nl) ). Je site moet daarvoor wel in Search Console staan. - Chrome toont een waarschuwing Gevaarlijk bij je site, of je site krijgt een waarschuwingslabel in de zoekresultaten. - Zoek in Google op `site:jouwdomein.be`: zo vind je ook gehackte pagina's die alleen aan Google getoond worden en niet aan jou ([web.dev](https://web.dev/articles/how-do-i-know-if-my-site-was-hacked) ). - Filter in WordPress onder Gebruikers > Alle gebruikers op Beheerder. Nieuwe gebruikers die je niet zelf aanmaakte, noemt [WordPress.org](https://wordpress.org/documentation/article/faq-my-site-was-hacked/) een duidelijk teken. - Laat je host of webbouwer de bestanden op de server scannen, een stap uit het plan van WordPress.org: een stil achtergelaten bestand zie je van buitenaf niet. - Je host schakelt je site uit of meldt spam of malware, klanten krijgen een waarschuwing van hun antivirus, of je krijgt mails over accounts of wachtwoorden die je niet kan plaatsen. Zie je niets, dan is dat nog geen garantie: niet elke inbraak laat sporen na die jij of Google opmerkt. ## Stap 5: twijfel je, werk dan in deze volgorde Zie je iets vreemds, of krijg je geen duidelijk antwoord van je host, begin dan niet in het wilde weg te wissen. Dit volgt de raad van WordPress.org, in de volgorde die ik aanraad: - Noteer wat je zag en wanneer. - Contacteer je host: is de PHP-fix er, en zien zij verdachte activiteit? Bij gedeelde hosting kan een inbraak meer raken dan jouw site. - Maak een back-up, ook als je site besmet lijkt. Zo verlies je niets bij het opkuisen. - Verander de wachtwoorden van elke toegang: WordPress, het controlepaneel van je hosting, FTP of SFTP en de database, ook die van andere gebruikers. Was de fix er toen nog niet, doe het dan nog eens zodra hij er is; dat tweede rondje is mijn eigen voorzorg. - Haal hulp als het opkuisen je boven het hoofd groeit: je webbouwer, je host of wij. Vraag je het ons, dan bekijken we eerst de techniek, de toegangen en wat je zelf beheert, en spreken we vooraf af wat er nodig is. Meer daarover bij [hosting en onderhoud](https://fokuus.be/hosting-onderhoud/) . ## Wanneer je het mag afvinken Je bent rond als je drie dingen zwart op wit hebt. Je weet of er PHP op je server draait. Je versie is minstens 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of je host bevestigde schriftelijk dat de fix in jouw versie zit. En de sporen uit stap 4 zijn nagekeken: een groen vinkje in Search Console, alleen bekende namen bij je beheerders en een scan zonder vondsten. Zit je op 8.1 of ouder, dan staat daarnaast de overstap uit stap 2 op je lijst. Al dat nakijken bewijst niet dat er nooit iets gebeurde. Het betekent wel dat dit gat dicht is en dat je gekeken hebt waar je kon kijken. Websitebeveiliging WordPress Hosting Search Console Delen [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Ffokuus.be%2Fblog%2Fwebsite-getroffen-php-lek%2F) [WhatsApp](https://wa.me/?text=Is%20mijn%20website%20getroffen%20door%20het%20PHP-lek%3F%20Zo%20check%20je%20het%20https%3A%2F%2Ffokuus.be%2Fblog%2Fwebsite-getroffen-php-lek%2F) [E-mail](mailto:?subject=Is%20mijn%20website%20getroffen%20door%20het%20PHP-lek%3F%20Zo%20check%20je%20het&body=https%3A%2F%2Ffokuus.be%2Fblog%2Fwebsite-getroffen-php-lek%2F) ## Schrijf je in voor nieuws. Nieuwe artikelen en updates van Fokuus in je mailbox. Je kunt je op elk moment uitschrijven. ## Anton Pycarelle Oprichter van Fokuus Anton bouwt en optimaliseert websites voor Belgische kmo’s vanuit Kortrijk. Hij schrijft over keuzes en ervaringen uit echte projecten. [Meer over Fokuus](https://fokuus.be/about/) ## Verder lezen. [Alle artikelen](https://fokuus.be/blog/) Onderhoud & Techniek · 7 min leestijd ### WordPress- of PHP-site beveiligen: 10 dingen om op te letten WordPress- of PHP-site beveiligen: tien punten, van een ondersteunde PHP-versie tot een noodplan, en bij elk punt wie het doet: jij, je webbouwer of je host. [Onderhoud & Techniek · 7 min leestijdWordPress- of PHP-site beveiligen: 10 dingen om op te lettenWordPress- of PHP-site beveiligen: tien punten, van een ondersteunde PHP-versie tot een noodplan, en bij elk punt wie het doet: jij, je webbouwer of je host.](https://fokuus.be/blog/php-wordpress-site-beveiligen/) Onderhoud & Techniek · 6 min leestijd ### PHP2Shell: wat het PHP-lek betekent voor je website PHP2Shell zijn twee kritieke lekken in PHP, de taal onder WordPress. Wat er uur per uur gebeurde, wie wat zag van misbruik en welke versies de fix bevatten. [Onderhoud & Techniek · 6 min leestijdPHP2Shell: wat het PHP-lek betekent voor je websitePHP2Shell zijn twee kritieke lekken in PHP, de taal onder WordPress. Wat er uur per uur gebeurde, wie wat zag van misbruik en welke versies de fix bevatten.](https://fokuus.be/blog/php2shell-php-lek/) [Bron](https://fokuus.be/blog/website-getroffen-php-lek/) · [Agentdocumentatie](https://fokuus.be/developers/)