WordPress en php2shell: PHP-versie controleren en updaten

Controleer alleen sites en servers waarvan je zelf eigenaar of beheerder bent. Deze pagina en onze checker vergelijken alleen het versienummer dat je zelf intypt, in je eigen browser. Er wordt niets getest, afgetast of gescand. Onafhankelijke site, niet verbonden aan de PHP Group, WordPress.org of Automattic.

Kort antwoord

Dit PHP-lek heet php2shell. Het gaat om twee kritieke kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) in PHP, de software onder WordPress. Ze zitten niet in WordPress zelf, je thema of je plugins. Een WordPress-update lost dus niets op. Wordfence zegt hetzelfde: automatische WordPress-updates verhelpen deze lekken niet, PHP moet worden bijgewerkt (Wordfence).

Wat je nu doet:

1. Open in het WordPress-beheer Extra > Sitediagnose > tab Info > Server en lees de PHP versie af. Staat je dashboard in het Engels, dan is het Tools > Site Health > Info > Server.
2. Is die versie lager dan de opgeloste versie van jouw tak (8.2.35, 8.3.36, 8.4.27 of 8.5.12)? Dan moet PHP omhoog, meestal via je hoster. Komt PHP uit een Linux-distributie of van een leverancier, of draai je 8.1 of ouder? Dan zegt het nummer alleen niet genoeg: zie de tabel hieronder.
3. Maak eerst een back-up als je naar een andere PHP-tak gaat. Lees daarna Sitediagnose opnieuw af.

Waarom de haast: de PHP Group schrijft dat de fouten kunnen leiden tot remote code execution zonder inloggen. Iemand zonder account kan dan mogelijk code op je server laten draaien (php.net). Het Nederlandse NCSC zet de melding op prioriteit “Hoog” en schrijft: “Alle PHP-installaties die webverzoeken verwerken zijn getroffen” (NCSC-2026-0443). Achtergrond: php2shell: wat is het en wat moet je doen?

Stap 1: lees je PHP-versie af in Sitediagnose

1. Log in op het WordPress-beheer.
2. Ga naar Extra > Sitediagnose, open het tabblad Info en klap Server open.
3. Lees de PHP versie af.

Twee valkuilen:

• Alleen de tak weten is niet genoeg. Een tak als 8.3 zegt niet of de opgeloste build erachter zit. Voor php2shell is een gewone 8.3 onder 8.3.36 nog steeds getroffen; je hebt 8.3.36 of hoger nodig, of het opgeloste pakket van je leverancier.
• Terminal en website kunnen verschillen. php -v op de command line toont soms een andere PHP dan die je website bedient. Kijk daarom naar de versie die je website zelf meldt (Sitediagnose, of de testmethode in PHP-versie controleren) en vraag bij twijfel je hoster.

Typ je nummer in de checker en vergelijk. Meer over versies uitlezen: PHP-versie controleren.

Stap 2: wie werkt PHP bij jou bij?

PHP staat op de server, dus je past het aan in het klantenpaneel van je hoster of laat de hoster het doen. Bij gedeelde hosting en beheerde WordPress-hosting is dat meestal de hoster. Op een eigen VPS of dedicated server ben jij of je webbouwer aan de beurt. De PHP-versie wijzig je dan in het paneel, meestal onder “PHP-versie” of “PHP-instellingen”. De naam en het pad verschillen per hoster, dus zoek in de help van je hoster op “PHP-versie wijzigen”.

Let op: in zo’n paneel kies je vaak alleen een tak (zoals 8.3), niet het patchniveau (8.3.36). Of daar de gepatchte build achter zit, bepaalt de hoster. Controleer het daarom altijd met Sitediagnose.

Hostnet, TransIP, Hostinger en IONOS

Stand op 22 oktober 2026, volgens de eigen bron van elke hoster (statuspagina of nieuwspagina). Die pagina’s veranderen snel, open de link voor je op iets vertrouwt.

Antagonist, Vimexx, Strato en Combell hebben we niet onderzocht, dus we doen geen uitspraak over deze hosters. Kijk op hun statuspagina of vraag het schriftelijk via een ticket.

“Wordt uitgerold” of “maatregelen genomen” betekent niet dat jouw pakket al een opgeloste PHP draait. Laat Sitediagnose nog een oude versie zien, vraag dan schriftelijk wanneer jouw abonnement de opgeloste versie krijgt. Meer hosters met controledatum: hostingstatus en de gids voor hosting.

Beheerde WordPress-hosting

“Protected” is het woord van de hoster en zegt niet welke PHP-versie je draait. Check dat met Sitediagnose.

Hostingpaneel (cPanel, Plesk, DirectAdmin)

Gebruikt je hoster een paneel als cPanel, Plesk of DirectAdmin, dan bepaalt de beheerder van de server wanneer de gepatchte build klaarstaat. Wat die panelen zelf melden, staat op hostingstatus.

Stap 3: voor je naar een andere PHP-tak springt

Een update binnen je tak (bijvoorbeeld 8.3.30 naar 8.3.36) is een patchupdate en gaat zelden mis. Naar een andere tak overstappen (bijvoorbeeld 8.1 naar 8.3) kan oude plugins en thema’s breken. Volg dan deze checklist:

1. Maak een back-up van bestanden en database, zodat je terug kunt als er iets misgaat.
2. Update WordPress, thema’s en plugins via Dashboard > Updates en controleer of de site nog werkt.
3. Draai een compatibiliteitscontrole op je plugins en thema’s, bijvoorbeeld met een plugin als PHP Compatibility Checker. Zo’n controle is een hulpmiddel, geen garantie: test daarom ook zelf. Vraag de ontwikkelaar van een gemarkeerde plugin of dat thema om hulp, of zoek een vervanger.
4. Zet PHP om in het paneel (of laat de hoster dat doen). Open de homepage, log in en test formulieren en de bestelstap in je webshop.
5. Gaat het mis? Zie je een melding over een “kritieke fout” op je site, dan is vaak een plugin of thema niet compatibel met de nieuwe PHP. Zet de vorige PHP-versie terug in het paneel (of laat dat de hoster doen) en zet zo nodig je back-up terug. Blijf niet op een getroffen versie hangen: los de plugin of het thema op en probeer het opnieuw.

Controleer ook of jouw WordPress-versie, thema’s en plugins de gekozen PHP-tak ondersteunen. Dat staat in de documentatie van WordPress en van elke ontwikkelaar; wij hebben die compatibiliteit niet gecontroleerd.

Beveiligingsupdates zijn er voor PHP 8.2 tot 31 december 2026, voor 8.3 tot 31 december 2027, voor 8.4 tot 31 december 2028 en voor 8.5 tot 31 december 2029 (php.net). 8.2 is dus een korte tussenstop. Zit je vast aan een tak zonder opgeloste release, dan lost een plugin dat niet op: vraag je hoster naar een back-port of een build met verlengde ondersteuning.

Een plugin of firewall is geen oplossing

• De PHP Group schrijft: “There are no complete mitigations, updating is the only safe choice” (php.net). Met andere woorden: de PHP Group kent geen volledige tijdelijke maatregel en wijst de update zelf aan.
• Wordfence: in de melding na de release noemt Wordfence PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, zegt het dat automatische WordPress-updates de lekken niet verhelpen en dat PHP door je hoster of op je eigen server moet worden bijgewerkt (Wordfence). Een vervolgbericht van 22 oktober (00:51 UTC) zegt dat de firewall alleen de WordPress-applicatielaag beschermt en dat PHP bijwerken en herstarten essentieel is. Een firewallregel voor deze CVE’s kondigt Wordfence niet aan.
• Patchstack: “Update to PHP 8.5.12, 8.4.27, 8.3.36 or 8.2.35, or to your vendor’s patched package.” Gebruik geen onofficiële “fix”-plugins of losse codefragmenten: Patchstack schrijft dat ze niet geverifieerd zijn en je site kunnen breken (Patchstack).
• Sucuri: “WAF protection does not replace patching PHP on your origin server” (Sucuri status).
• Cloudflare: Cloudflare zet WAF-regels standaard aan voor Free- en betaalde abonnementen en zegt zelf dat je PHP toch moet patchen. Bij een betaald abonnement controleer je of de Managed Ruleset in blokkeermodus staat. Verkeer dat Cloudflare omzeilt, wordt door een WAF niet gezien (onze lezing; Patchstack zegt iets vergelijkbaars) (Cloudflare).

Stap 4: controleer het resultaat

1. Open Extra > Sitediagnose > Info > Server opnieuw en lees de PHP-versie nog eens af.

2. Beheer je de server zelf en heb je PHP via het pakketbeheer bijgewerkt? Controleer dan of PHP echt opnieuw is gestart. Pas de servicenamen aan jouw systeem aan (op RHEL-achtige systemen heten ze php-fpm en httpd). Een herstart onderbreekt verzoeken heel even:

   sudo systemctl restart php8.3-fpm
   sudo systemctl restart apache2    # alleen bij mod_php
   php -v                            # toont de versie van de command line, niet per se die van je website

   De uitkomst van Sitediagnose blijft leidend voor je site. Bij een distributiepakket vergelijk je met het opgeloste pakketnummer van je leverancier, niet met het upstream-nummer.

3. Voer de versie in bij de checker en open een paar pagina’s van je site om te zien dat alles nog laadt.

Hulp bij jouw situatie?

Liever niet zelf uitzoeken welke stappen bij jouw hoster en WordPress-versie passen? Wij bieden een persoonlijk patchplan voor US$ 49: schriftelijke stappen voor jouw exacte situatie, binnen 24 uur per e-mail. We loggen nooit in op je server. Meer info op /nl/fix-service/.

Onafhankelijke site, niet verbonden aan WordPress.org, Automattic, de PHP Group of php.net.