Welke PHP-versie heb ik? Controleer wat je site echt draait

Controleer alleen systemen die van jou zijn of waarvoor je verantwoordelijk bent. Deze pagina en onze checker werken met versienummers die je zelf intypt, in je eigen browser. Er wordt niets gescand of getest op een server. Onafhankelijke site, niet verbonden aan de PHP Group.

Kort antwoord

Kijk in WordPress bij Extra > Sitediagnose > Info > Server of draai php -v op de server, en controleer daarna de PHP-versie die je website gebruikt: de opdrachtregel en de website kunnen verschillende PHP-versies draaien. Draai je Debian, Ubuntu, RHEL of Alpine, dan kan een “te laag” nummer toch gepatcht zijn, omdat de leverancier de fix in de oude versie inbouwt (een backport). Vergelijk dan het volledige pakketnummer met dat van je leverancier. Vul het resultaat in bij de checker.

Waarmee vergelijk je?

php2shell is de naam die Wiz Research gaf aan twee kritieke PHP-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619). Het NCSC schrijft in NCSC-2026-0443: “Alle PHP-installaties die webverzoeken verwerken zijn getroffen.” Ook php.net noemt PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed (php.net). De gepatchte versies zijn:

Binnen 8.2 tot en met 8.5 is elk lager nummer dan het genoemde getroffen (GitHub-advisory). php.net zegt ook: “There are no complete mitigations, updating is the only safe choice.” Met andere woorden: de PHP Group noemt geen volledige tijdelijke maatregel en wijst de update zelf aan. Het Nederlandse NCSC geeft de melding prioriteit “Hoog” en kopt: “bereid je voor op patchen”. De volledige lijst staat op gepatchte versies.

Stap 1: Kijk in WordPress of je hostingpaneel

WordPress. Ga naar Extra > Sitediagnose (in het Engels Tools > Site Health), open het tabblad Info en klap Server open. Daar staat de PHP-versie (WordPress.org). Dit loopt via de website zelf, dus het is de betrouwbaarste plek. Let op: WordPress en plugins bijwerken patcht PHP niet. Wordfence zegt dat automatische WordPress-updates deze lekken niet verhelpen en dat PHP door je hoster of op je eigen server moet worden bijgewerkt (Wordfence). Meer in onze WordPress-gids.

Hostingpaneel. Zoek de PHP-instellingen van je domein op. Veel panelen tonen alleen de tak (bijvoorbeeld “8.3”), niet het volledige nummer, en de gekozen tak zegt niet of de host al gepatcht heeft. Controleer het volledige nummer met stap 2.

Bij cPanel zijn de gepatchte EasyApache-pakketten 8.5.12-1, 8.4.27-1, 8.3.36-1 en 8.2.35-1. Voor de verouderde ea-php81, ea-php80 en ea-php74 blijft het PHP-nummer gelijk en herken je de fix aan het pakketnummer: 8.1.34-5, 8.0.30-12 en 7.4.33-19. Op CloudLinux hebben de ea-php-pakketten lagere nummers (bijvoorbeeld 8.4.26-2.elX.cloudlinux.1) en dragen ze de fix als backport: zoek daar in de changelog naar de CVE-nummers in plaats van het nummer te vergelijken.

Wat melden Hostnet, Hostinger en TransIP?

Dit is wat de officiële pagina’s van een aantal hosts zeiden toen wij keken (22 okt 2026). Statuspagina’s veranderen snel; open de link voordat je beslist. Meer hosts staan op hostingstatus.

Antagonist, Vimexx, Strato en Combell hebben we niet onderzocht, dus we doen geen uitspraak over deze hosters. Kijk op hun statuspagina of in je klantenpaneel, of vraag de support.

“Geen melding gevonden” betekent niet dat het niet is opgelost, alleen dat wij niets hebben kunnen lezen. Op shared hosting past de host PHP aan; jij kunt dan alleen het volledige nummer controleren (stap 2) en bij de host navragen. Op een VPS of dedicated server doe je de update zelf.

Stap 2: Welke PHP draait je website echt?

Kun je een bestand in de webmap zetten, gebruik dan een testbestand van één regel in plaats van een volledige phpinfo()-pagina. Het toont alleen versie en SAPI (de manier waarop PHP draait, zoals fpm-fcgi, apache2handler of litespeed):

f="v-$(openssl rand -hex 8).php"
printf '<?php header("Content-Type: text/plain"); echo PHP_VERSION, " ", php_sapi_name(), PHP_EOL;\n' | sudo tee "/var/www/html/$f" >/dev/null
curl -s "https://jouw-site.example/$f"
sudo rm -f "/var/www/html/$f"

Pas webmap en domein aan. Zonder shell-toegang upload je hetzelfde bestand via FTP of de bestandsbeheerder, open je het één keer en verwijder je het direct weer. Gebruik je liever phpinfo();, kijk dan alleen naar PHP Version en Server API en verwijder het bestand meteen daarna: phpinfo() toont paden, instellingen en omgevingsgegevens die niet op een openbare URL horen (PHP-handleiding). Laat zo’n bestand nooit staan.

Stap 3: Via SSH met php -v

php -v
which -a php
php-fpm -v          # Debian/Ubuntu: php-fpm8.3 -v (de naam bevat de versie)

De eerste regel van php -v is de versie en (cli) is de SAPI (PHP-handleiding). Dit is alleen de opdrachtregel. Een server kan meerdere PHP-versies hebben, en php in je shell is niet per se die van je site. Vertrouw voor de website op stap 2 of Sitediagnose.

Stap 4: Het pakketnummer op Linux

Distributies houden het oude PHP-nummer aan en voegen een achtervoegsel toe als een fix is teruggezet. Een gepatchte Ubuntu 24.04 kan dus gewoon “8.3.6” tonen. Lees daarom het volledige pakketnummer:

# Debian en Ubuntu
dpkg -l | grep -E '^ii +php'
apt policy php8.3-cli                      # lees Installed, niet Candidate
apt changelog php8.3-cli | grep -m3 -E 'CVE-2026-10961[89]'

# RHEL, AlmaLinux, Rocky, Oracle, Amazon Linux
rpm -qa | grep -i '^php'
rpm -q --changelog php-cli | grep -m3 -E 'CVE-2026-10961[89]'

# Alpine
apk list -I | grep -i php

Staat de CVE in de changelog, dan zit de fix er in. Staat hij er niet in, dan bewijst dat niet dat je kwetsbaar bent: vergelijk dan met het nummer van de leverancier.

De volledige modulenummers (zoals bij php:8.2 en php:8.3 op RHEL 9) staan op gepatchte versies.

Gebruik je de externe opslagplaats van Ondřej Surý (sury.org of ppa:ondrej/php), dan is een build gepatcht als het nummer minstens het genoemde nummer heeft, bijvoorbeeld 8.4.27-1 of hoger voor PHP 8.4 (sury.org). Sury heeft ook backports voor oudere takken, zoals 8.1.34-9. Over de door vrijwilligers beheerde Remi-opslagplaats schreef php.net op de releasedag dat die nog geen updates had en adviseerde over te stappen op distributiepakketten of zelf te bouwen. Inmiddels staan er in de Remi-opslagplaats PHP-builds van 21 oktober voor PHP 8.2 tot en met 8.5 op Enterprise Linux 8, 9 en 10 (bijvoorbeeld 8.4.27-1.el9.remi). Remi noemt de CVE’s niet zelf; vergelijk met het opgeloste nummer uit de tabel op gepatchte versies. Alle pakketnummers staan op gepatchte versies.

Docker. Een imagetag zegt wat je ooit hebt binnengehaald, niet wat er nu draait. Controleer met docker exec <container> php -v, haal het image opnieuw op en maak de container opnieuw aan (docker compose pull && docker compose up -d). Volgens onze laatste controle (22 okt 2026, 03:50 UTC) bevatten de officiële php-images PHP_VERSION=8.5.12 voor php:8.5 en php:8.5.12, 8.4.27 voor php:8.4 en php:8.4.27, 8.3.36 voor php:8.3 en 8.2.35 voor php:8.2. Floating tags als php:8.4 verschuiven mee; controleer dus altijd wat je container zelf meldt. Voor 8.1, 8.0 en 7.4 bestaat geen opgelost officieel image. Controleer na het pullen altijd met php -v.

Stap 5: Vergelijk, werk bij, controleer opnieuw

Na de update herstart je PHP (bijvoorbeeld sudo systemctl restart php8.3-fpm, of apache2/httpd), zodat lopende processen de nieuwe build laden. Doe daarna stap 2 nog eens. Overstappen naar een andere tak (bijvoorbeeld 8.1 naar 8.3) kan plugins breken, dus maak vooraf een volledige back-up of snapshot.

Stap 6: Vul het in bij de checker

Open de checker, kies je platform en typ de versie precies zoals je hem zag: het PHP-nummer voor php.net en Docker, of de volledige pakketstring (bijvoorbeeld 8.3.6-0ubuntu0.24.04.13) voor distributiepakketten. De checker vergelijkt alleen wat jij intypt, in je browser. Achtergrond: wat is php2shell.

Liever niet zelf uitzoeken? Met het persoonlijke patchplan van $49 krijg je binnen 24 uur per e-mail stap-voor-stap-instructies voor jouw situatie. We loggen nooit in op je server. Zie patchplan.