PHP-versie WordPress updaten: dit doe je na de PHP-lekken

Bijgewerkt op 7 november 2026

Je website draait op WordPress of WooCommerce en alles lijkt gewoon te werken. Toch is er op 21 oktober iets gebeurd dat jouw site raakt, ook als je zelf niets hebt aangepast. De programmeertaal waarop WordPress draait, PHP, bleek twee ernstige beveiligingslekken te hebben. Daarnaast stopt PHP 8.2 op 31 december 2026 met beveiligingsupdates.

PHP draait op de server van je hostingpartij, niet in je WordPress-dashboard. Een WordPress-update lost dit dus niet op. Hieronder staat wat er precies speelt, hoe je je PHP-versie controleert en hoe je een update regelt zonder dat je site omvalt.

Wat is er aan de hand?

Op 21 oktober 2026 bracht het PHP-project een beveiligingsadvies uit over twee kritieke lekken, bekend als CVE-2026-109618 en CVE-2026-109619. Beide kregen vooraf een ernstscore van 9,2 (CVSS v4.0). Via deze lekken kan een aanvaller onder bepaalde omstandigheden zelf code uitvoeren op de server, zonder in te loggen.

Volgens php.net loopt elke PHP-installatie die webverzoeken afhandelt risico. Het PHP-project schrijft dat er geen volledige tijdelijke oplossing bestaat: alleen een update lost het echt op. WordPress.org benadrukt dat de lekken niet specifiek in WordPress zitten. Ze gelden voor elke server met een PHP-toepassing, en er komt geen WordPress-update voor.

Welke versies zijn gerepareerd?

De reparatie zit in deze PHP-versies:

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

PHP 8.1 en ouder krijgen geen updates meer van het PHP-project. Sommige Linux-distributies en leveranciers met langere ondersteuning leveren voor oudere versies nog wel eigen reparaties. Je hostingpartij weet of dat bij jouw server het geval is.

Voor wie geldt dit?

Voor iedereen met een WordPress-site of WooCommerce-webshop, omdat beide op PHP draaien. Of je zelf iets moet doen, hangt af van je hosting:

Gedeelde of beheerde hosting: je hostingpartij beheert PHP. WordPress.org schrijft dat hosts mogelijk al bezig zijn met updaten en met extra firewallregels, maar dat je zelf moet nagaan of dat bij jou gebeurd is.
Eigen server (VPS): dan ben jij of je ontwikkelaar verantwoordelijk. Draait die server een PHP-versie van vóór 8.2, dan raadt WordPress.org aan om te overwegen de server offline te halen totdat hij is bijgewerkt. Het Britse National Cyber Security Centre geeft dat advies voor als bijwerken niet direct lukt.

Per wanneer?

Er spelen twee data:

Nu al: de gerepareerde versies zijn er sinds 21 oktober 2026. Het PHP-project raadt aan direct bij te werken.
31 december 2026: volgens het overzicht van ondersteunde versies stopt dan de beveiligingsondersteuning voor PHP 8.2. Na die datum komen er voor 8.2 geen beveiligingsreparaties meer.

Dit is geen wet of regel, maar een beveiligingsupdate die nu al beschikbaar is. Voor de andere versies geeft php.net deze einddatums voor beveiligingsupdates: PHP 8.3 tot 31 december 2027, PHP 8.4 tot 31 december 2028 en PHP 8.5 tot 31 december 2029.

Heb je een webshop, let dan ook op WooCommerce. Volgens de WooCommerce-ontwikkelaarsblog vraagt WooCommerce 11.6, gepland voor februari 2027, minimaal PHP 8.1. WooCommerce raadt PHP 8.3 of nieuwer aan.

Zo zie je welke PHP-versie je site gebruikt

Je hebt hiervoor geen technische kennis nodig.

In WordPress: ga naar Gereedschap > Sitestatus, open het tabblad Info en klap het onderdeel Server open. Daar staat de PHP-versie. In een Engelstalig dashboard heet dit Tools > Site Health > Info > Server.
In WooCommerce: ga naar WooCommerce > Status en kijk bij de serveromgeving naar de PHP-versie.
In je hostingpaneel: veel hostingpartijen tonen de PHP-versie ook in hun beheeromgeving.

WordPress adviseert PHP 8.3 of hoger. Zie je in het dashboard of in Sitestatus een melding dat een PHP-update nodig of aanbevolen is (in het Engels "PHP Update Required" of "PHP Update Recommended"), dan is dat een herinnering om bij te werken.

Wat vraag je aan je hostingpartij?

PHP staat op de server, dus de update loopt via je hostingpartij. Bij veel hosts kun je de versie zelf kiezen in het hostingpaneel. Lukt dat niet, of twijfel je, stel dan deze vragen:

Heeft de server van mijn site de reparatie voor CVE-2026-109618 en CVE-2026-109619 al gekregen?
Welke PHP-versie draait mijn site nu?
Kan mijn site naar PHP 8.3 of nieuwer, en kan ik daarna terug naar de huidige versie als er iets misgaat?
Bieden jullie een testomgeving (staging) waarin ik een nieuwe PHP-versie eerst kan proberen?

Wat kan er misgaan bij een PHP-update?

WordPress zelf werkt met veel PHP-versies. WordPress 7.1 is volgens de compatibiliteitstabel geschikt voor PHP 7.4 tot en met 8.5. Het risico zit meestal in je thema en plug-ins. WordPress.org schrijft dat populaire en betrouwbare plug-ins vrijwel zeker werken, maar dat niemand dat voor elke site kan garanderen. Ook WooCommerce schrijft dat zijn eigen controle niet kan garanderen dat elke extensie, elk thema of elke koppeling na een PHP-update blijft werken.

Bij een webshop is de impact groter. WooCommerce noemt onder meer het afrekenen, betaalmethoden, verzend- en btw-berekeningen, orderbeheer, geplande taken, het thema, extensies en eigen maatwerk als onderdelen die je moet nalopen.

Checklist: zo update je zonder gedoe

Deze stappen volgen de uitleg van WordPress.org en het advies van WooCommerce:

Controleer je PHP-versie via Sitestatus, WooCommerce > Status of je hostingpaneel.
Vraag je hostingpartij of de reparatie van 21 oktober al op je server staat.
Maak een back-up van je hele site. Daarmee kun je terug als er iets misgaat. Weet ook hoe je de back-up terugzet.
Werk WordPress, je thema en je plug-ins bij via Dashboard > Updates en controleer daarna of alles werkt. Meer daarover lees je in onze checklist voor WordPress-updates.
Controleer de compatibiliteit. WordPress.org noemt de plug-in PHP Compatibility Checker. Die vindt de meeste problemen, maar is niet foutloos.
Test eerst op een kopie van je site, als je host een testomgeving biedt. Bij een webshop loop je daar het afrekenen en betalen helemaal door.
Zet de nieuwe PHP-versie live en controleer daarna opnieuw de versie en de belangrijkste onderdelen van je site, bij een webshop dus weer het afrekenen.
Gaat er iets mis? Zet de PHP-versie terug, of vraag je host dat te doen, en zet zo nodig je back-up terug. Neem contact op met de maker van de plug-in of het thema dat de fout geeft.

Wat kost het als je niets doet?

Er staat geen boete of vast bedrag tegenover. Wat de bronnen wel beschrijven, is het risico. Via deze lekken kan een aanvaller onder bepaalde omstandigheden zonder inloggegevens code op je server uitvoeren. Over versies zonder ondersteuning schrijft php.net dat gebruikers mogelijk blootstaan aan beveiligingslekken die niet meer worden gerepareerd. Wat een gehackte site jou precies kost aan herstel, omzet of reputatie, verschilt per bedrijf en staat nergens als bedrag.

Een nieuwere PHP-versie heeft volgens WordPress.org ook een voordeel: je site kan er sneller door worden. Kampt je site met trage pagina's, lees dan ook hoe je de oorzaak van een trage WordPress-website vindt.

Hulp nodig bij je PHP-update?

Wil je dat iemand de PHP-versie, back-ups en updates voor je regelt, kijk dan bij ons WordPress-onderhoud.

Veelgestelde vragen

Moet ik WordPress updaten om deze lekken te dichten?

Nee. De lekken zitten in PHP, niet in WordPress. WordPress.org meldt dat er geen WordPress-update voor nodig is of gepland staat. Je WordPress en plug-ins bijwerken blijft wel verstandig, zeker vóór een PHP-update.

Mijn site draait op PHP 8.2. Is dat een probleem?

PHP 8.2.35 bevat de reparatie, maar na 31 december 2026 komen er voor PHP 8.2 geen beveiligingsupdates meer. Plan daarom nu de overstap naar een nieuwere versie. WordPress en WooCommerce adviseren PHP 8.3 of hoger.

Kan ik zelf mijn PHP-versie wijzigen?

Bij veel hostingpartijen kan dat in het hostingpaneel. Lukt het niet, dan vraag je het aan je host. Maak altijd eerst een back-up en weet hoe je terug kunt naar de oude versie.

Wat kost het om dit te laten regelen?

Dat hangt af van je site en het aantal plug-ins. In wat websiteonderhoud kost lees je waar de kosten van afhangen. Twijfel je over je situatie, laat je dan adviseren door je host of een ontwikkelaar.