Controleer alleen systemen waarvan je zelf eigenaar of beheerder bent. Onze checker vergelijkt alleen het versienummer dat je zelf intypt, in je eigen browser. Er wordt niets getest of gescand op een server. Onafhankelijke site, niet verbonden aan de PHP Group of php.net.
Kort antwoord
Heb je gewone webhosting (een pakket met een klantenpaneel, geen eigen server)? Dan kun je PHP zelf meestal niet patchen: je hoster moet de gepatchte PHP-build uitrollen. Jouw taak is drie dingen: kijk wat je hoster officieel meldt, zorg dat je op een ondersteunde PHP-tak zit (8.2, 8.3, 8.4 of 8.5) en vraag via een ticket om bevestiging als er niets staat. Heb je een VPS of dedicated server, dan patch je zelf (zie php2shell: wat moet je doen?).
Per 22 oktober 2026 (gecontroleerd tot 12:30 UTC) melden Hostnet, OVHcloud, Hetzner, Hostinger en IONOS zelf dat ze de gepatchte PHP-versies hebben uitgerold (OVHcloud op zijn webhosting, waarbij het nog aan oudere versies werkt; Hetzner op zijn webhosting en Managed Servers, inclusief de resterende oudere versies 5.6 en 7.3; Hostinger op alle servers van beheerde hosting; IONOS op alle platforms die het zelf beheert). Voor TransIP vonden we geen officiële melding. Dat betekent niet dat het geregeld is of juist niet: we konden alleen niets bevestigen. De PHP Group zelf schrijft in zijn melding: “There are no complete mitigations, updating is the only safe choice.” Met andere woorden: geen volledige tijdelijke maatregel, de update zelf is nodig.
Wat zegt het NCSC?
Het Nederlandse NCSC publiceerde op 21 oktober 2026 de melding NCSC-2026-0443, “Kwetsbaarheden verholpen in PHP”, prioriteit “Hoog”. De kernzin: “Alle PHP-installaties die webverzoeken verwerken zijn getroffen.” Dat geldt dus ook voor WordPress, WooCommerce en elke andere PHP-site bij een hoster. Het gaat om de PHP-versie op de server van je hoster, niet om de versie van je website of plug-ins.
De twee kwetsbaarheden zijn CVE-2026-109618 en CVE-2026-109619. De opgeloste PHP-versies zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12 (php.net).
Wat melden hosters? (stand 22 oktober 2026)
Alleen hosters met een gecontroleerde officiële bron staan in deze tabel. Een hoster die hier niet staat, heeft daarmee niets bevestigd of ontkend: we hebben er dan gewoon geen gecontroleerde melding van. Alle controles zijn gedaan op 22 oktober 2026, de laatste om 12:30 UTC. Statuspagina’s veranderen snel: open altijd de bron zelf.
| Hoster | Status | Wat moet je als klant doen? | Officiële bron |
|---|---|---|---|
| Hostnet | Gepatcht (volgens de hoster) | Hostnet meldt: “De PHP-beveiligingsupdate is op al onze systemen uitgerold en de kwetsbaarheden zijn verholpen. Ook oudere PHP-versies zijn bijgewerkt via PHP Extended Support.” De tijdelijke maatregelen zijn op 22 okt om 02:26 CEST ingetrokken. Vraag bij twijfel om bevestiging. | hostnet.status.io |
| TransIP | Geen officiële melding gevonden | Open een ticket en vraag of de gepatchte PHP-build actief is voor jouw pakket. Wij keken naar transip.nl/nieuws, de blog en de kennisbank, zonder melding over PHP of deze CVE’s. De oude statuspagina geeft een 404 en status.transip.eu was niet bereikbaar, dus een incidentenfeed hebben we niet kunnen lezen. | transip.nl/nieuws |
| Hostinger | Gepatcht (volgens de hoster) | Hostinger zegt dat zijn eigen tests laten zien dat het platform niet kwetsbaar is en dat het een extra beschermingslaag heeft toegevoegd. Om 06:44 UTC op 22 okt meldde Hostinger dat de PHP-upgrades klaar zijn op alle servers van beheerde hosting. Sommige sites tonen PHP 8.5.11 in plaats van 8.5.12; volgens Hostinger klopt dat, omdat de fix aan de versie van de site is toegevoegd, en betekent een Build Date van 21 oktober 2026 of later in PHP Info dat de fix is toegepast. Klanten met Web Hosting, Agency Hosting of cPanel Hosting hoeven niets te doen; VPS-klanten beheren PHP zelf. | statuspage.hostinger.com |
| IONOS | Gepatcht (volgens de hoster) | IONOS zegt dat zijn websites en hosting beschermd zijn: de officiële PHP-updates zijn al uitgerold op alle platforms die IONOS zelf beheert (incident afgesloten op 22 okt, 10:10 UTC) en klanten hoeven niets te doen. Wie zelf PHP draait, bijvoorbeeld op een VPS of dedicated server, moet de update voor de nieuwste PHP-versie direct installeren. De melding noemt geen versienummers. | ionos-status.com |
| OVHcloud (webhosting) | Gepatcht (volgens de hoster) | OVHcloud meldt: “All php release from 7.4 to 8.5 have been patch on all clusters.” Eerder zette het al WAF-regels (firewallregels) op alle clusters, en het werkt nog aan de oudere versies. Dit geldt alleen voor webhosting, niet voor VPS of Public Cloud. Versienummers noemt de melding niet. | OVHcloud-melding |
| Hetzner | Gepatcht (volgens de hoster) | Hetzner meldt: “We deployed patches for the PHP versions 7.4 and 8.0-8.5 on all Webhosting- and Managed-Servers.” Later voegde het toe: “We deployed patches for the remaining PHP versions 5.6 and 7.3 on all Webhosting- and Managed-Servers.” Dit geldt voor konsoleH, webhosting en Managed Servers; klanten met een dedicated of cloud server krijgen een e-mail en moeten zelf patchen. Versienummers noemt de melding niet. | Hetzner-statusmelding |
Wat deze statussen betekenen:
- Gepatcht (volgens de hoster): de hoster zegt zelf dat zijn PHP is opgelost, voor het genoemde product. Wij hebben dat niet zelf getest en de melding noemt meestal geen versienummers. Controleer na afloop zelf de PHP-versie van je site (zie PHP-versie controleren).
- Wordt uitgerold: de hoster zegt dat de update bezig is (op dit moment staat er geen hoster met deze status in de tabel). Dat is niet hetzelfde als “klaar voor jouw pakket”. Vraag na een dag om bevestiging als je het zeker wilt weten.
- Geen officiële melding gevonden: op de genoemde pagina’s stond niets over deze kwetsbaarheid. Dit is een vaststelling over wat we zagen, geen uitspraak over de toestand van de systemen van de hoster.
- Zelfbeheerde server: bij IONOS en Hetzner geldt dat een VPS, Bare Metal-, dedicated of cloud server jouw verantwoordelijkheid is. Volg dan de stappen in de hoofdgids.
Statuspagina’s veranderen snel: een actueler beeld krijg je alleen bij de hoster zelf.
Staat je hoster er niet bij of is er geen melding?
Stuur je hoster een ticket. Een bruikbare tekst:
Kunnen jullie bevestigen dat de PHP-beveiligingsupdate voor CVE-2026-109618 en CVE-2026-109619 (opgelost in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, of een gelijkwaardige back-port) actief is voor mijn hostingpakket? Zo niet: wanneer, en welke PHP-versie moet ik kiezen?
Let op drie dingen:
- Een firewall (WAF) of een tijdelijke maatregel van de hoster is een extra laag, geen vervanging voor de update. De PHP Group schrijft dat er geen volledige tijdelijke maatregel is en wijst de update zelf aan. Behandel “we hebben maatregelen genomen” dus niet als “klaar”, tenzij de hoster zegt dat de update zelf is geïnstalleerd.
- Het versienummer kan oud blijven. Sommige hosters en Linux-distributies halen de fix terug in een bestaande versie (back-port). Het nummer ziet er dan oud uit terwijl de fix er wel in zit. Vergelijk daarom met het opgeloste pakketnummer van je leverancier, niet alleen met het nummer van php.net. Meer uitleg in de gids over php2shell.
- PHP 8.1 en ouder krijgen geen officiële updates meer. Voor 7.4, 8.0 en 8.1 bestaan alleen minimale back-ports in broncode, geen downloadbare release. Kies waar mogelijk een nieuwere tak. PHP 8.2 krijgt nog maar tot 31 december 2026 beveiligingsupdates (php.net): 8.3 of hoger is een betere keuze.
PHP-versie wijzigen in een klantenpaneel
Veel hosters laten je de PHP-versie per website of domein kiezen. De menunamen verschillen per hoster, en hosters passen hun paneel vaak aan. Zoek in je klantenpaneel naar “PHP-versie”, “PHP-instellingen” of “PHP-beheer”, meestal bij de instellingen van je domein of pakket. Staat het er niet, zoek dan in de helpdesk van je hoster op “PHP-versie wijzigen”.
Belangrijk: een andere PHP-tak kiezen is geen patch. De fix komt pas als de hoster de gepatchte build installeert. Kies je een tak, zorg dan dat het een ondersteunde tak is (8.2 t/m 8.5), en laat de hoster bevestigen dat die build gepatcht is.
Zo pak je het zorgvuldig aan:
- Maak een back-up van bestanden en database, met de tool van je hoster of van je WordPress-plug-in.
- Noteer de huidige versie en controleer in je paneel welke versies de hoster aanbiedt. Je kunt alleen kiezen uit wat zij hebben geïnstalleerd.
- Test eerst op een testkopie (staging) of een domein met weinig verkeer. Een sprong over meerdere versies, bijvoorbeeld van 7.4 naar 8.3, kan oude plug-ins of thema’s breken.
- Wijzig de versie en laad je website, de beheeromgeving en je belangrijkste formulieren of de afrekenpagina.
- Controleer de versie. In WordPress zie je hem bij Extra > Sitediagnose > tabblad Info > Server. Typ hem daarna in de checker. Meer uitleg: PHP-versie controleren.
- Gaat er iets stuk? Zet de vorige versie terug en vraag hulp bij de ontwikkelaar of de leverancier van de plug-in. Laat een kwetsbare PHP-versie niet langer staan dan nodig.
Als je hoster cPanel, Plesk of DirectAdmin gebruikt
Gebruikt je hoster een van deze panelen, dan staat hier wat de makers zelf melden. De menunamen verschillen per hoster en versie, dus zoek de PHP-instellingen in je paneel of de helpdesk van je hoster:
- cPanel: cPanel meldt in de release notes dat EasyApache 4 25.91 (21 oktober 2026) gepatchte PHP-pakketten bevat; de hoster moet die update wel installeren.
- Plesk: de PHP-versie per handler controleer je (onze tip, geen uitspraak van Plesk) onder Tools & Settings > PHP Settings. Plesk meldt dat opgeloste PHP-builds beschikbaar zijn: PHP 8.2 tot en met 8.5 als 8.2.35, 8.3.36, 8.4.27 en 8.5.12, voor Plesk op Linux en op Windows. Voor 7.4.33, 8.0.30 en 8.1.34 op Linux blijft het nummer gelijk en bevatten de builds van 21 oktober 2026 de fixes. Plesk vraagt om Plesk zelf bij te werken naar de nieuwste versie (Plesk-melding).
- DirectAdmin: DirectAdmin bracht op 21 oktober een build uit die CustomBuild-PHP 8.5, 8.4, 8.3 en 8.2 bijwerkt en patches toevoegt voor 8.1, 8.0 en 7.4; een latere build voegt patches toe voor oudere versies (7.3 tot en met 5.6). De beheerder moet zelf
da updateenda build phpdraaien om de nieuwe versies te installeren (eerste build, latere build).
Heb je zelf beheer over zo’n paneel (VPS of dedicated server)? Dan vind je de algemene stappen in de gids over php2shell. Gebruikt je hoster een eigen paneel, dan geldt de algemene werkwijze hierboven. Welke menunamen jouw hoster gebruikt, staat in hun helpdesk; wij gokken dat niet.
Wat mag je van je hoster verwachten?
Vraag in elk geval:
- Is de gepatchte PHP-build actief voor mijn pakket, en sinds wanneer?
- Welke PHP-takken zijn gepatcht, en hoe zit het met 8.1 en ouder?
- Moet ik zelf iets doen, zoals een versie kiezen of PHP herstarten?
Krijg je geen duidelijk antwoord, of draait je site op een oude tak die de hoster niet meer patcht? Dan is overstappen naar een hoster of pakket met een ondersteunde PHP-tak de echte oplossing. Een WordPress-update lost dit niet op: PHP zelf moet worden bijgewerkt (WordPress en php2shell). Wees ook voorzichtig met onofficiële “fix”-plug-ins of losse codefragmenten; Patchstack waarschuwt daar ook voor.
Hulp bij jouw situatie?
Liever niet zelf uitzoeken welke stappen bij jouw hosting of server passen? Wij bieden een persoonlijk patchplan voor $49 (US-dollar): schriftelijke stappen voor jouw situatie, per e-mail binnen 24 uur. We loggen nooit in op je server. Vraag het aan via contact@php2shellcheck.com.