Nieuws · oktober 2026
Kort gezegd: je hoeft niets te doen. Eind september 2026 bracht het PHP-team beveiligingsupdates uit voor alle ondersteunde PHP-versies. Wij hebben de PHP-versies op onze servers bijgewerkt naar de gepatchte releases. Je website, webshop en e-mail draaien daarmee op beveiligde software. In dit artikel lees je om welke lekken het gaat, wat wij hebben gedaan en wat je zelf nog kunt controleren.
Wat is er aan de hand?
PHP is de programmeertaal waarop onder andere WordPress, WooCommerce en de meeste andere websites draaien. Op 24 september 2026 verschenen PHP 8.5.11, 8.4.26, 8.3.35 en 8.2.34. Het zijn alle vier beveiligingsreleases: het PHP-team raadt iedereen aan om zo snel mogelijk bij te werken.
De belangrijkste opgeloste lekken:
| Lek | Onderdeel | Wat kon er gebeuren? |
|---|---|---|
| CVE-2026-91765 | SOAP-extensie (ernst: hoog, CVSS 7,5) | Een aanvaller kon een openbaar bereikbaar SOAP-endpoint zonder in te loggen laten crashen met een speciaal opgebouwd XML-bericht. |
| CVE-2026-91768 | PHP-FPM | De toegangscontrole (listen.allowed_clients) kon bij IPv6-verbindingen worden omzeild. |
| CVE-2026-91766 | HTTP-streams | Bij een doorverwijzing naar een andere server konden inloggegevens, zoals Authorization- en Cookie-headers, worden meegestuurd. |
| CVE-2026-91769 | OpenSSL-streams | De controle van een servercertificaat kon onterecht terugvallen op de Common Name. |
Daarnaast zijn er fixes voor geheugenfouten in onder meer de Phar-extensie en mysqlnd.
Eerder dit jaar, op 30 juli 2026, verscheen ook al een beveiligingsronde (PHP 8.5.9, 8.4.24, 8.3.33 en 8.2.33). Daarin werden onder meer een SQL-injectie in de PostgreSQL-extensie (CVE-2026-17543) en een geheugenfout in bccomp() (CVE-2026-17544) opgelost. Ook die updates zijn op onze servers doorgevoerd.
Wat hebben wij gedaan?
- Alle ondersteunde PHP-versies op onze servers zijn bijgewerkt naar de gepatchte releases. De updates zijn actief op al onze servers.
- Onze vaste beveiligingslagen blijven actief, zoals de Imunify360-firewall en -malwarescan en onze DDoS-bescherming.
- We volgen nieuwe beveiligingsmeldingen en installeren updates zodra ze verschijnen.
Wat betekent dit voor jouw website?
Gebruikt je website een ondersteunde PHP-versie (8.2 of hoger)? Dan draait hij al op de beveiligde versie. Je hoeft geen instellingen aan te passen en niets opnieuw te uploaden.
Let op bij oude PHP-versies. PHP 7.4, 8.0 en 8.1 krijgen van het PHP-team geen beveiligingsupdates meer. Draait je website daar nog op, zet hem dan over naar een nieuwere versie. Ook voor PHP 8.2 stopt de ondersteuning op 31 december 2026. Kies daarom bij voorkeur nu al PHP 8.3 of 8.4.
Wat kun je zelf doen?
- Controleer je PHP-versie. Log in op Plesk, ga naar Websites en domeinen en klik bij je domein op PHP (of PHP-instellingen). Daar zie je welke versie is geselecteerd.
- Kies een actuele versie. Staat er 7.4, 8.0, 8.1 of 8.2? Maak eerst een backup, kies daarna PHP 8.3 of 8.4 en klik op OK. Controleer vervolgens of je website goed werkt.
- Werk WordPress, thema’s en plugins bij. Een veilige PHP-versie helpt het meest als ook de software erbovenop actueel is.
- Bouw je zelf met SOAP of externe API-koppelingen? Controleer dan of je code geen inloggegevens meestuurt naar andere servers en of certificaten strikt worden gecontroleerd.
Meer stap-voor-stap uitleg vind je in onze handleidingen over Plesk, WordPress en beveiliging.
Hulp nodig?
Twijfel je welke PHP-versie je website gebruikt, of wil je dat wij meekijken? Neem contact met ons op via WhatsApp, ticket of e-mail. Onze support is echt 24/7 bereikbaar, ook ’s nachts.
Nog geen klant? Onze webhosting en WordPress-hosting draaien standaard op actuele, beveiligde software. Overstappen is gratis: wij verhuizen je website en e-mail zonder downtime.