Je website werkt prima, bezoekers kunnen je bereiken en misschien heb je onlangs zelfs alle WordPress-updates uitgevoerd. Maar betekent dat automatisch dat je website goed beveiligd is?
Helaas niet. Op 20 oktober 2026 heeft het PHP-beveiligingsteam gewaarschuwd voor twee ernstige beveiligingslekken. Beide kwetsbaarheden hebben een score van 9,2 op 10. Dat is een belangrijke waarschuwing voor iedereen met een website die PHP gebruikt, waaronder veel WordPress-websites.
Wat betekent dit voor jouw website en wat kun je zelf doen?
Wat is er precies aan de hand?
PHP is de programmeertaal waarop onder andere WordPress draait. Het zorgt ervoor dat je website pagina’s kan opbouwen, informatie kan verwerken en bijvoorbeeld contactformulieren kan versturen.
In PHP zijn twee kritieke kwetsbaarheden gemeld. Volgens beveiligingswaarschuwingen kunnen deze onder bepaalde omstandigheden misbruikt worden om ongewenste code op een server uit te voeren.
De PHP-ontwikkelaars hebben aangekondigd op woensdag 21 oktober 2026 om 16.00 uur Nederlandse tijd beveiligingsupdates beschikbaar te stellen. De exacte getroffen versies en oplossingen moeten bij de beveiligingsrelease worden bevestigd.
Dat betekent overigens niet dat iedere WordPress-website automatisch gehackt is. Wel is het belangrijk om tijdig te controleren of jouw website risico loopt.
Waarom een bijgewerkte WordPress-website toch kwetsbaar kan zijn
Veel website-eigenaren denken dat hun website veilig is zodra WordPress, het thema en alle plugins zijn bijgewerkt.
Maar er is nog een belangrijke schakel: de PHP-versie die op de webserver draait.
Je kunt het vergelijken met een huis. De deuren en ramen zijn goed afgesloten, maar als de fundering een probleem heeft, ben je nog steeds niet volledig beschermd.
WordPress-updates lossen namelijk niet automatisch beveiligingsproblemen in PHP zelf op.
Ook wanneer je hostingprovider firewalls en andere beveiligingsmaatregelen gebruikt, blijft het installeren van noodzakelijke beveiligingsupdates belangrijk.
Welke PHP-versies worden nog ondersteund?
PHP wordt regelmatig vernieuwd. Oudere versies ontvangen na verloop van tijd geen beveiligingsupdates meer.
Per 21 oktober 2026 ziet de officiële ondersteuning er als volgt uit:
- PHP 8.5 en 8.4: ontvangen actieve ondersteuning en beveiligingsupdates.
- PHP 8.3: ontvangt nog beveiligingsupdates.
- PHP 8.2: ontvangt alleen nog beveiligingsupdates, tot eind december 2026.
- PHP 8.1 en ouder: worden officieel niet meer ondersteund.
WordPress adviseert op dit moment PHP 8.3 of hoger.
Let op: ook een nog ondersteunde PHP-versie moet voorzien zijn van de juiste beveiligingspatch. Alleen overstappen naar een hoger versienummer is niet automatisch voldoende om de nieuw gemelde kwetsbaarheden te verhelpen.
Hoe controleer je de PHP-versie van jouw WordPress-website?
Gelukkig kun je dit meestal eenvoudig zelf bekijken.
Via WordPress:
- Log in op je WordPress-dashboard.
- Ga naar Gereedschap → Sitediagnose.
- Open het tabblad Info.
- Klik op Server.
- Bekijk de vermelde PHP-versie.
Via je hostingomgeving:
Bij veel hostingproviders kun je de gebruikte PHP-versie bekijken of aanpassen via DirectAdmin, Plesk of cPanel.
Gebruik je DirectAdmin? Kijk dan bij Domeinbeheer of Domain Setup en zoek naar de PHP-versiekeuze.
Welke opties je precies ziet, verschilt per hostingprovider.
Belangrijk is dat je niet alleen naar het hoofdversienummer kijkt, maar ook bij je hostingprovider nagaat of de nieuwste beveiligingspatch daadwerkelijk is geïnstalleerd.
Kun je zomaar overstappen naar een nieuwere PHP-versie?
Technisch gezien is dat vaak eenvoudig, maar ik raad aan om dit zorgvuldig aan te pakken.
Een oudere WordPress-website kan plugins of een thema bevatten die niet goed samenwerken met een nieuwere PHP-versie.
Een overhaaste wijziging kan daardoor leiden tot foutmeldingen, niet-werkende formulieren of zelfs een website die tijdelijk niet meer bereikbaar is.
Mijn advies: maak altijd eerst een volledige back-up van je website én database.
Gebruik bijvoorbeeld de back-upfunctie van DirectAdmin of Installatron, of een betrouwbare externe back-upoplossing. Controleer ook of je de back-up daadwerkelijk kunt terugzetten.
Test na een wijziging niet alleen de homepage, maar ook belangrijke functies zoals contactformulieren, inloggen en eventuele bestel- en betaalprocessen.
Wat kun je nu het beste doen?
Met deze stappen verklein je de kans op problemen:
- Controleer je PHP-versie. Kijk of je nog een ondersteunde versie gebruikt.
- Controleer de beveiligingspatches. Vraag je hostingprovider of de aangekondigde PHP-beveiligingsupdates zijn of worden geïnstalleerd.
- Maak een volledige back-up. Zorg dat zowel je websitebestanden als database veilig zijn opgeslagen.
- Werk WordPress, thema’s en plugins bij. Verouderde onderdelen kunnen extra beveiligingsrisico’s opleveren.
- Controleer de belangrijkste functies. Kijk of alles na het onderhoud nog correct werkt.
Kan een kwetsbaarheid niet direct verholpen worden? Bespreek dan met je hostingprovider of tijdelijk aanvullende beschermingsmaatregelen nodig zijn.
Waarom regelmatig websiteonderhoud belangrijk blijft
Dit beveiligingsnieuws laat zien dat websiteonderhoud verder gaat dan af en toe op de knop ‘Bijwerken’ klikken.
Een goed onderhouden website vraagt aandacht voor meerdere onderdelen: WordPress zelf, plugins, thema’s, PHP, back-ups en de algemene werking van de website.
En dat wordt nogal eens vergeten. Zeker wanneer een website al jaren zonder problemen draait.
Toch kunnen juist op de achtergrond kwetsbaarheden ontstaan zonder dat je daar als bezoeker of website-eigenaar direct iets van merkt.
Geen idee hoe jouw website ervoor staat?
Niet iedereen heeft tijd of zin om zich bezig te houden met PHP-versies, beveiligingsupdates en technische instellingen.
Dat begrijp ik.
Bij Kroon Agency help ik ondernemers met het technisch onderhouden en controleren van hun WordPress-websites.
Wil je alleen weten of jouw website op dit moment goed is ingericht? Dan kunnen we ook kijken naar een eenmalige technische controle. Je hoeft dus niet direct een onderhoudsabonnement af te sluiten.
Liever structureel ondersteuning? Dan zijn er verschillende onderhoudspakketten beschikbaar.
Bekijk de mogelijkheden voor WordPress-onderhoud bij Kroon Agency.
Zo kun jij je bezighouden met je onderneming en voorkom je dat technische aandachtspunten onnodig blijven liggen.
Bronnen: PHP Security Team, officiële PHP-ondersteuning, CERT-EU Security Advisory en WordPress-vereisten. Informatie bijgewerkt op 21 oktober 2026.
