FAQ
Veelgestelde vragen
Korte antwoorden over de functionaliteit, de resultaten en de gegevensverwerking.
Wat controleert PHP Checker?
PHP Checker beoordeelt PHP-versie-aanwijzingen voor precies twee beveiligingslekken: CVE-2026-109618 en CVE-2026-109619. Bij de externe check haalt de dienst het ingevoerde adres één keer op en leest geschikte responsheaders (X-Powered-By, Server). Je kunt ook zelf een versie of pakketaanduiding invoeren of de echte versie met een controlebestand bevestigen. Alle methoden gebruiken dezelfde beoordelingsregels.
Met welke twee beveiligingslekken houdt de check rekening?
CVE-2026-109618 (code-uitvoering na afbreken door geheugentekort) en CVE-2026-109619 (code-uitvoering door verouderde globale toestand in workerprocessen). Volgens het PHP-project zijn beide opgelost in 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Details en bronnen vind je onder PHP-lekken.
Kan de check vaststellen of mijn website geïnfecteerd is?
Nee. De dienst controleert niet op infectie en onderzoekt geen serverbestanden. In het resultaat staat daarom altijd ‘Infectie: niet gecontroleerd’. Vermoed je een aanval, laat de server dan door specialisten onderzoeken – een latere update verwijdert geen malware die al is binnengedrongen.
Waarom wordt mijn PHP-versie niet herkend?
Veel websites of voorgeschakelde diensten (proxy, CDN, beveiligingssysteem) verbergen versie-informatie. Dat is gebruikelijk en op zich geen beveiligingsprobleem. Er volgt echter ook geen veiligheidsoordeel uit. Je hoeft versie-informatie niet openbaar te maken: gebruik het controlebestand of bekijk de actieve PHP-versie in het hostingpaneel.
Betekent een passende versie-aanwijzing dat mijn hele website veilig is?
Nee. Een versie-aanwijzing heeft alleen betrekking op de bekeken versies en deze twee CVE’s. Ze is niet geverifieerd, bevestigt niet het daadwerkelijk geïnstalleerde pakket of alle draaiende PHP-processen en sluit andere risico’s of een eerdere compromittering niet uit.
Wat zijn backports van leveranciers?
Linuxdistributies en hostingproviders nemen beveiligingscorrecties vaak over in oudere pakketversies, zonder het PHP-versienummer te verhogen – herkenbaar aan een leveranciersrevisie zoals ‘8.3.6-0ubuntu0.24.04.5’. Doorslaggevend is dan de beveiligingsmelding van de leverancier voor precies deze pakketversie en beide CVE’s. Zonder dit bewijs luidt het resultaat ‘Controle bij leverancier vereist’.
Waarom kan de PHP-versie in de terminal afwijken?
Webservers, PHP-FPM-pools, containers en de commandoregel kunnen verschillende PHP-runtimes gebruiken. php -v toont alleen de versie van de commandoregel. Het meest zeggend is de versie die de website daadwerkelijk uitvoert – en precies die toont het controlebestand.
Wat moet ik doen bij een oudere versie?
Controleer met je hostingprovider of beheerder welke pakketversie daadwerkelijk wordt gebruikt. Laat een bevestigde update installeren, herstart de betrokken PHP-processen (bijv. PHP-FPM, Apache) en controleer daarna opnieuw de draaiende versie. Bij een vermoeden van een eerdere aanval hoort daar ook een onderzoek van de server bij.
Welke gegevens worden voor de controle verwerkt?
Bij de externe check stuurt je browser het ingevoerde adres naar onze server. Die vraagt de DNS op en haalt het adres één keer op; de doelwebsite ziet daarbij het IP-adres van onze server, niet het jouwe. Het resultaat wordt alleen naar jouw browser teruggestuurd. Ter bescherming tegen misbruik slaan we kortstondig een gepseudonimiseerde sleutel van je IP-adres op. De handmatige beoordeling gebeurt volledig in je browser. Details staan in de privacyverklaring.
Staat je vraag er niet bij? Neem contact op met Denkcode.