Inhoud
Alle websites die Carry2Web host, draaiden binnen een nacht op een gepatchte PHP-versie, ruim voordat iemand er misbruik van kon maken.
Op woensdag 21 oktober 2026 maakte het PHP-project twee kritieke lekken bekend, samen bekend als PHP2Shell (CVE-2026-109618 en CVE-2026-109619). Beide kregen een ernstscore van 9,2 op 10. Via deze lekken kon een aanvaller zonder in te loggen code uitvoeren op een webserver, en dus in het ergste geval de hele server overnemen.
PHP is de programmeertaal achter het overgrote deel van het web, waaronder elke WordPress-site. Organisaties als DigiD, MijnOverheid en de Tweede Kamer haalden hun sites daarom uit voorzorg offline. De NOS legt goed uit wat er aan de hand was: Zoveel sites in één klap plat: hoe kan dat? En zijn je gegevens veilig?
Wat wij die nacht hebben gedaan
Zodra de gepatchte PHP-versies beschikbaar waren, zijn we aan de slag gegaan. Rond de klok, stap voor stap, met een backup vóór elke wijziging.
- Server bijgewerkt naar de gepatchte versies PHP 8.2.35 en 8.3.36, en alle PHP-processen herstart zodat geen enkele site nog oude code in het geheugen had.
- Verouderde PHP-versies uitgeschakeld. PHP 7.4, 8.0 en 8.1 krijgen geen beveiligingsupdates meer van het PHP-project. Sites die daar nog op draaiden, hebben we overgezet naar PHP 8.2.
- Elke site vooraf gescand op code die niet meer werkt onder PHP 8, zodat we problemen konden oplossen voordat bezoekers ze zagen.
- Verouderde plugins en thema’s gerepareerd waar ze een site lieten crashen. Waar een plugin niets meer deed, hebben we hem uitgeschakeld.
- Server-updates doorgevoerd en de server herstart met een nieuwe, veiligere kernel.
Waarom we niet eerst hebben overlegd
Normaal stemmen we wijzigingen aan uw website vooraf met u af. Deze keer niet, en dat was een bewuste keuze.
De details van het lek waren al uitgelekt voordat de patch er was, en volgens de NOS zag Cloudflare al de eerste aanvalspogingen. Bovendien delen meerdere websites één server: één gehackte site kan alle andere in gevaar brengen. De veiligheid van de sites verdroeg geen andere aanpak dan snel en zelfstandig handelen.
De les: verouderde plugins zijn een risico
Het PHP-lek zelf was na een update gedicht. Het meeste werk zat in iets anders: plugins en thema’s die al jaren niet waren bijgewerkt. Sommige stamden uit 2017 en crashten op de nieuwe PHP-versie.
Die hebben we technisch aangepast zodat de sites weer werken. Maar dat is een noodoplossing. Verouderde plugins zijn zelf een bekende inbraakroute, ook zonder PHP-lek. Wie ze bijwerkt of vervangt, staat de volgende keer een stuk sterker.
Waarom PHP 8.2, en wat er nog volgt
We kozen bewust voor PHP 8.2 en niet direct voor de nieuwste versie. Elke nieuwe PHP-versie schrapt oude functies, en hoe groter de sprong, hoe meer verouderde plugins vastlopen. Midden in een acuut beveiligingsprobleem wilden we zo min mogelijk risico op kapotte websites.
PHP 8.2 krijgt nog beveiligingsupdates tot 31 december 2026. Daarom stappen we gefaseerd over:
- Nu (oktober 2026): alle sites op het gepatchte PHP 8.2. Het lek is dicht, de sites werken.
- Voor eind 2026: alle sites naar PHP 8.3, met beveiligingsupdates tot eind 2027. Deze stap is klein; vrijwel alles wat op 8.2 werkt, werkt ook op 8.3. We testen elke site vooraf.
- Daarna: de server zelf vernieuwen, zodat ook PHP 8.4 beschikbaar komt, met beveiligingsupdates tot eind 2028.
Zo blijft uw website steeds op een ondersteunde versie, zonder grote sprongen in één keer.
Wat u nu kunt doen
- Loop uw website na. Controleer alle pagina’s, contactformulieren, sliders, fotogalerijen en eventuele inlogomgevingen.
- Meld wat niet klopt aan info@carry2web.com, met de link naar de pagina en een korte omschrijving of schermafbeelding.
- Laat uw plugins en thema’s bijwerken. Twijfelt u of uw site up-to-date is? Wij kijken graag met u mee.
Heeft u een website die niet bij ons gehost wordt en weet u niet zeker of die al is bijgewerkt? Neem gerust contact op, dan controleren we het voor u.