PHP2Shell: is jouw website veilig? Zo weet je het binnen 10 minuten

Bijgewerkt op 24 oktober 2026 · door Jeroen Sienaert, Lead it, Grow

Voor dit lek heeft een aanvaller geen wachtwoord nodig. Enkel een website die nog niet bijgewerkt is.

En dat is geen zeldzaam geval. Volgens Wiz, het securitybedrijf dat het lek met hulp van AI vond, draait zo'n 70 procent van het internet op PHP. Elke WordPress-site hoort daarbij.

Woensdag haalden Smartschool, Tweakers, de VDAB, Stad Gent en een rij ziekenhuizen hun websites uit voorzorg offline. Ze waren niet gehackt. Ze gingen offline om de noodpatch te installeren.

Een ziekenhuis heeft een IT-team dat dat op een woensdagochtend beslist. Een praktijk, een schrijnwerker of een handelaar met acht man personeel heeft dat niet. Daar draait de site gewoon verder, en niemand weet welke PHP-versie erop staat.

Deze pagina vertelt je wat er speelt en of het jou raakt. Wil je het meteen oplossen, haal dan de gratis check: vier vragen, een mail die je zo naar je webbouwer stuurt, en per antwoord wat je moet doen.

Ja, stuur me de gratis check →

Wat is het PHP-lek PHP2Shell?

PHP is de programmeertaal waarop het grootste deel van de websites draait: WordPress, WooCommerce, Joomla, Drupal, PrestaShop, Magento. Het lek zit in PHP zelf, niet in een plugin of thema.

Wie het misbruikt, kan van buitenaf eigen code laten draaien op de server waar je website staat. Op die server staat vaak meer dan je site: de gegevens uit je contactformulieren, je mailwachtwoorden, de sleutels van je betaalprovider.

De lekken werden op 21 oktober vervroegd bekendgemaakt omdat ze al uitgelekt waren. Amazon zag een eerste exploitpoging op 17 oktober, Cloudflare en watchTowr zagen pogingen op 21 oktober. Een bevestigde inbraak is er op 24 oktober nog niet. Het Amerikaanse CISA en het Belgische CCB hadden bij de bekendmaking nog geen misbruik vastgesteld, en raden allebei aan om meteen bij te werken. Er circuleert wel aanvalscode.

PHP2Shell en WordPress: is WordPress getroffen?

Ja. Onderzoekers van Wiz lieten een aanval zonder login zien op een recente WordPress-installatie, en ook op Drupal en Joomla. Elke WordPress-site is geraakt tot de PHP-versie op de server bijgewerkt is.

Een WordPress-update dicht het lek niet. Een beveiligingsplugin ook niet. Het lek zit onder WordPress, op de server, en daar werkt je hoster of webbouwer.

Is mijn website veilig? Zoek je rij

Je site draait op...	Geraakt?	Wie moet het oplossen
WordPress, WooCommerce, Joomla, Drupal of PrestaShop bij een gewone hoster	Ja	Je hoster werkt PHP bij. Vraag het na
Idem, op een eigen VPS of server	Ja	Jij of je webbouwer. Je hoster doet het hier meestal niet
Maatwerk van een lokaal webbureau	Ja, als het PHP is	Het bureau
Wix, Squarespace, Shopify, Webflow, Framer	Nee, geen eigen server	De leverancier. Jij hoeft niets te doen
Een online boekings-, facturatie- of patiëntensysteem	Hangt af van de leverancier	De leverancier. Vraag het schriftelijk

Vergeet de stukken die niemand meer opvolgt niet: een oude testsite, een webmail op je hostingpakket, een subdomein van een actie in 2022. Die draaien vaak ook op PHP.

Deze week keek ik de websites na van 12 Vlaamse bedrijven waarmee ik samenwerk of in gesprek ben. Minstens 9 draaien op PHP. Eén draait nog op Drupal 7, dat al sinds januari 2025 geen beveiligingsupdates meer krijgt. Of die sites al bijgewerkt zijn, zie je van buitenaf niet. Dat moet je vragen.

Hoe check je de PHP-versie van je website?

• WordPress: in je dashboard onder Gereedschap > Sitegezondheid, tabblad Info, onderdeel Server.
• Hostingpaneel (Plesk, cPanel, DirectAdmin): bij de PHP-instellingen van je domein.
• Geen toegang: vraag het aan je hoster of webbouwer.

Een valkuil: hosters bouwen de fix soms in zonder dat het versienummer verandert. Het nummer alleen zegt dus niet genoeg. Je moet ook de datum van de patch kennen. In de gratis check staat de mail die beide vraagt, en een tabel die zegt wat elk antwoord betekent.

Ja, stuur me de gratis check →

Is PHP 7.4 nog veilig?

Nee. PHP 7.4 krijgt al sinds november 2022 geen gewone beveiligingsupdates meer, en voor PHP2Shell komt er geen officiële release. Er bestaat een noodpatch in broncode die je hoster zelf kan inbouwen, maar dat moet je navragen. Hetzelfde geldt voor 8.0 en 8.1. Voor alles van 5.4 tot 7.3 is er niets.

Draait je site op 7.4, dan is een upgrade naar 8.2 of hoger de enige echte oplossing. Dat kan oude plugins of een oud thema breken. Laat het dus doen door wie je site kent, en niet op een vrijdagnamiddag.

Website offline door de PHP-update: moet ik dat ook doen?

De sites van Smartschool en de VDAB gingen offline voor de update, niet door een hack. Het CCB raadt aan om de update meteen te installeren, en een kwetsbaar systeem offline te halen als dat niet lukt.

Voor een kmo betekent dat: vraag eerst aan je hoster wanneer de patch erop staat. Kan dat niet snel en staan er klantgegevens op je site, zoals formulieren of een webshop, laat de site dan in onderhoudsmodus zetten tot het opgelost is.

Wat doe je als kmo deze week?

1. Vraag na of je site bijgewerkt is. Eén mail aan je hoster of webbouwer. De tekst staat klaar in de gratis check.
2. Vervang daarna je wachtwoorden en koppelingen: beheerder van je site, mail, betaalprovider. Volgens Patchstack kan het geheugen van de server uitgelekt zijn.
3. Ruim op wat je niet meer gebruikt. Testsites, oude webshops, vergeten subdomeinen.
4. Trap niet in phishing rond het lek. Er volgen valse mails "van je hoster" met een link om in te loggen en te updaten. Je hoster vraagt dat nooit via een link in een mail.

PHP2Shell is één aanval. Kmo's worden vaker geraakt door een valse factuur met een ander rekeningnummer of een gestolen mailwachtwoord. Daarom zit in de gratis check ook een checklist met actielijst voor de rest van je bedrijf: mail, wachtwoorden, betalingen, back-ups en personeel. Je krijgt er een noodkaart bij met wie je belt als het misgaat.

Wat zit er in de gratis check?

• De check van 10 minuten: vier vragen die zeggen of jouw site veilig is
• De mail aan je hoster of webbouwer, klaar om te versturen, en een tabel die zegt wat je met hun antwoord doet
• Een checklist en actielijst om je bedrijf te beschermen tegen cyberaanvallen: wat je vandaag doet (een kwartier), deze week (een uur) en elk kwartaal (twintig minuten)
• Een noodkaart met de Belgische nummers en adressen voor als het misgaat

Je hoeft geen IT'er te zijn.

Ja, stuur me de gratis check →

Belgische en Europese hosters: wat weten we?

• Hostinger: fix op alle hostingservers, behalve VPS (bron).
• OVHcloud: webhosting op alle clusters gepatcht, PHP 7.4 tot 8.5.
• Combell en one.com: op 24 oktober geen publieke melding gevonden. Vraag het zelf na.
• Plesk: volgens trackers is ook het paneel zelf geraakt, met hotfixes aangekondigd.
• Cloudflare: filterregels als noodverband, enkel nuttig als je server uitsluitend verkeer via Cloudflare aanneemt (bron).

Ik werk deze lijst bij zodra er nieuws is.

Veelgestelde vragen over PHP2Shell

Bronnen

• CCB: Warning: Multiple Critical vulnerabilities in PHP
• Wiz: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
• Tenable: php2shell FAQ (versies, tijdlijn, status CISA)
• Patchstack: Major security alert: PHP vulnerable to critical RCE
• VRT NWS: Verschillende websites offline na lekken in populaire programmeertaal PHP

Updatelog

24-10-2026 · eerste versie