PHP-beveiligingslekken oktober 2026: wat doet Intention?
Op 20 oktober 2026 heeft het PHP-team twee ernstige beveiligingslekken in PHP bekendgemaakt (CVE-2026-109618 en CVE-2026-109619). PHP is de programmeertaal waarop onder meer WordPress, Joomla, Drupal, Magento en WHMCS draaien. Wij volgen dit op de voet. Zodra de updates uit zijn, installeren we ze direct op al onze servers. Daar hoef je zelf niets voor te doen.
Updates (21 oktober 2026, nieuwste bovenaan)
- 21:23 De bijgewerkte pakketten voor onze webservers zijn nog niet beschikbaar. Onze leverancier werkt eraan, maar heeft de verwachte tijd van 21:00 uur niet gehaald. Onze firewall houdt eventuele bekende aanvallen tegen. We installeren de updates direct zodra ze beschikbaar zijn, ook als dat vannacht is.
- 20:37 De updates voor de webmail en Mijn Intention zijn geïnstalleerd. Voor de servers waarop websites draaien zijn de bijgewerkte pakketten nog niet beschikbaar. Tot die tijd houdt onze firewall eventuele bekende aanvallen tegen.
- 18:32 Op diverse servers, waaronder die van de webmail, rollen we nu de updates uit die al beschikbaar zijn.
- 16:43 Onze serverleverancier werkt aan de bijgewerkte pakketten en verwacht ze uiterlijk vanavond 21:00 uur beschikbaar te stellen, mogelijk eerder. We installeren ze direct zodra ze er zijn.
- 15:57 Het PHP-team heeft de updates uitgebracht (PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35). Onze serverleveranciers hebben de bijgewerkte pakketten nog niet beschikbaar gesteld. Zodra dat gebeurt, installeren we ze direct.
- 15:35 We staan klaar om de updates te installeren zodra ze beschikbaar zijn.
- 14:22 We houden alle ontwikkelingen rond deze lekken scherp in de gaten. Op dit moment is er nog niets nieuws te melden.
- 12:15 Aangevuld dat nog niet bekend is of oudere PHP-versies (zoals 7.4 en 8.1) bij ons ook een update krijgen. De kans is groot van wel.
- 11:29 Onze firewall houdt de bekende aanvallen nu tegen. De tijdelijke oplossing is daardoor optioneel, en we hebben erbij gezet dat die niet alle aanvalsroutes afdekt.
- 10:30 Een tijdelijke oplossing via .htaccess toegevoegd.
- 10:00 Artikel geplaatst.
Wil je je website nu al extra beschermen? Bekijk de tijdelijke oplossing tot de update er is.
Wat is er aan de hand?
- Het gaat om twee lekken in PHP zelf, niet in een bepaalde website of plugin. Daarom kunnen veel soorten websites ermee te maken hebben.
- Het PHP-team geeft de lekken een ernstscore van 9,2 op 10. Een aanvaller kan er mogelijk op afstand code mee uitvoeren op een webserver.
- Het PHP-team heeft op 21 oktober 2026 de updates uitgebracht: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor de oudere versies 7.4, 8.0 en 8.1 heeft het PHP-team een oplossing gepubliceerd die serverleveranciers zelf kunnen verwerken.
- Wij installeren de updates zodra onze serverleveranciers de bijgewerkte pakketten beschikbaar stellen.
Wat doen wij?
| Stap | Status |
|---|---|
| Ontwikkelingen volgen via de officiële aankondigingen van PHP | Doen we doorlopend |
| Bekende aanvallen tegenhouden met onze firewall, als tijdelijke extra bescherming tot de update er is | Actief |
| Updates installeren op al onze servers, voor alle PHP-versies waarvoor een update verschijnt | Direct zodra de updates beschikbaar zijn |
| Dit artikel bijwerken | Na de uitrol en bij nieuwe informatie |
De updates installeren we op de achtergrond. Je website blijft gewoon bereikbaar en je hoeft daarna niets in te stellen.
Moet ik zelf iets doen?
Voor de PHP-update zelf niet, die regelen wij. Wel raden we je aan om deze twee dingen te controleren:
- Gebruik je een PHP-versie die nog ondersteund wordt? Het PHP-team brengt zelf alleen updates uit voor versies die het nog ondersteunt. Of er bij ons ook een update komt voor oudere versies, zoals PHP 7.4 en 8.1, is op dit moment nog niet bekend. De kans is groot dat dat wel gebeurt. We werken dit artikel bij zodra we het zeker weten. Overstappen naar een nieuwere versie blijft verstandig. Hoe je je versie bekijkt en wisselt, lees je in PHP-versie en extensies kiezen.
- Is je website zelf bijgewerkt? Werk je CMS, plugins en thema's bij. Dan kun je ook zonder problemen naar een nieuwere PHP-versie overstappen. Gebruik je WordPress, lees dan WordPress beheren: updates, back-ups en inloggen.
Heb je een eigen VPS of server die je zelf beheert? Dan installeren wij de updates daar niet automatisch. Houd zelf php.net in de gaten en installeer de updates zodra ze uit zijn.
Extra voorzorg tot de update er is (optioneel)
Onze firewall houdt de bekende aanvallen al tegen. Wil je toch extra voorzichtig zijn? Dan kun je tot de update tijdelijk het versturen van bestanden naar je website blokkeren. Volgens de berichten verlopen de aanvallen via zulke verzoeken. Zet bovenaan het .htaccess-bestand in de hoofdmap van je website (meestal public_html). Deze regels sluiten niet alle mogelijke aanvalsroutes af; alleen de PHP-update lost het lek volledig op.
RewriteEngine On
RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ - [F]
Het .htaccess-bestand kun je bewerken met de Filemanager in het Control Panel (zie Bestanden beheren met de Filemanager) of via FTP. Maak eerst een kopie van het bestand.
Let op: zolang deze regels erin staan, werken uploads niet meer. Je kunt dan bijvoorbeeld geen afbeeldingen uploaden in WordPress, geen plugins of thema's installeren via een zip-bestand en geen formulieren met een bijlage versturen. Bezoekers krijgen dan de melding 403 Forbidden. Sommige formulieren werken ook zonder bijlage niet meer. Test daarom na het plaatsen even je contactformulier.
Haal de regels weer weg zodra de update is uitgerold. Dit artikel werken we bij zodra het zover is.
Is mijn website gehackt?
Op dit moment hebben we geen aanwijzingen dat de lekken bij ons misbruikt worden. Zie je toch iets vreemds, zoals onbekende bestanden, doorverwijzingen naar andere websites of een melding van ons over malware? Lees dan Melding malware gevonden, wat nu?
Vragen?
Mail ons op support@intention.nl en vermeld je domeinnaam. We helpen je graag verder.