Op 21 oktober 2026 werd een kritiek lek in PHP bekend (PHP2Shell, CVE-2026-109618 en CVE-2026-109619). Veel websites, van WordPress tot maatwerk en CRM-pakketten, draaien op PHP. Daarom is de eerste vraag van veel ondernemers: welke PHP-versie draait mijn website eigenlijk? Hieronder leest u waar u dat vindt.
1. In het paneel van uw hostingpartij
De betrouwbaarste plek is het beheerpaneel van uw hosting. Zoek naar een onderdeel dat PHP-versie, PHP-instellingen of MultiPHP heet. Daar staat per website of domein welke versie actief is, en vaak kunt u de versie daar ook wijzigen. Maak vooraf een back-up, en controleer na een wijziging uw website.
2. In WordPress
Gebruikt u WordPress? Ga naar Extra, dan Sitestatus (in het Engels Site Health) en open het tabblad Info. Klap het onderdeel Server open: daar staat bij PHP-versie het versienummer. Heeft u geen beheerrechten, dan ziet u dit scherm niet en kunt u het beter aan uw websitebouwer of hostingpartij vragen.
3. Vraag het uw websitebouwer of hoster
Dit is de snelste route als u de toegang niet heeft. Vraag twee dingen: welke PHP-versie draait mijn website, en is de beveiligingsupdate van 21 oktober daarop toegepast? Dat tweede is belangrijk, zie hieronder.
Maak geen testbestand dat u laat staan
Op internet staat vaak het advies om een klein bestand op uw site te zetten dat alle PHP-gegevens toont. Dat bestand laat veel zien aan iedereen die het adres kent. Doet u het toch, verwijder het dan meteen na gebruik. Het paneel of uw hoster is een veiligere route.
Wat betekent het versienummer?
Een versienummer bestaat uit drie delen, bijvoorbeeld 8.3.36. Het eerste deel is de hoofdversie (8), het tweede de reeks (8.3) en het derde de kleine update binnen die reeks (36). PHP heeft op 21 oktober fixes uitgebracht voor de reeksen die nog ondersteund worden:
- reeks 8.2: vanaf versie 8.2.35
- reeks 8.3: vanaf versie 8.3.36
- reeks 8.4: vanaf versie 8.4.27
- reeks 8.5: vanaf versie 8.5.12
Staat uw website op PHP 8.1 of ouder, dan wordt die reeks niet meer officieel ondersteund. Voor die versies is er volgens de berichtgeving geen volledige fix. Dan is het verstandig om op korte termijn naar een nieuwere versie te gaan.
Let op: een lager nummer is niet altijd onveilig
Sommige hostingpartijen werken met eigen pakketten die de fix terugbrengen in een oudere versie, zonder dat het versienummer verandert. Het nummer alleen zegt dus niet alles. Vraag bij twijfel aan uw hoster of de beveiligingsupdate is toegepast. Omgekeerd geldt: een nieuw nummer in uw paneel betekent niet automatisch dat de update op uw server staat, als uw hoster die nog niet heeft doorgevoerd.
Wat kunt u daarna doen?
Is uw PHP-versie niet bijgewerkt of verouderd, vraag uw hoster dan om bij te werken, of laat dat door uw IT-partner doen. Test daarna uw website: laden de pagina's, werken formulieren en eventuele webshop, en kunt u nog inloggen? Oude websites, zeker WordPress-sites die al lang geen onderhoud meer hebben gehad, kunnen na een nieuwe PHP-versie problemen geven. Dan is een update van de site of een nieuwe website vaak de beste oplossing.