Probleem oplossen

PHP-lekken dichten – stap voor stap

Kies waar je website draait. We laten je precies zien wat je moet doen – of Denkcode regelt het voor je.

Kies hieronder bij ‘Alle handleidingen’ jouw situatie.

Nog niet gecontroleerd of je getroffen bent? Eerst even controleren

Het doel: minimaal deze versie

PHP 8.2vanaf 8.2.35
PHP 8.3vanaf 8.3.36
PHP 8.4vanaf 8.4.27
PHP 8.5vanaf 8.5.12

Geldt voor CVE-2026-109618 en CVE-2026-109619. PHP 8.1 en ouder krijgen geen updates meer – daar helpt alleen de overstap naar een nieuwere branch.

Vooraf

Voordat je begint

Back-up maken: maak een back-up van bestanden en database – de meeste providers bieden daarvoor een back-upfunctie in het klantenpaneel.
Huidige versie noteren: bepaal die met het controlebestand, zodat je voor en na kunt vergelijken.
In dezelfde branch blijven is het eenvoudigst: een update van bijv. 8.3.20 naar 8.3.36 bevat alleen foutcorrecties. Een branchwissel (bijv. 8.1 → 8.3) kun je het beste eerst testen.

Om na te slaan

Alle handleidingen

Tik op jouw situatie. Twijfel je? Heb je een klantenpaneel bij een hostingprovider en geen servertoegang via SSH, dan is het bijna altijd ‘Webhostingpakket’.

Shared webhostingKlantenpaneel bij een hoster, geen eigen server – de meest voorkomende situatie

Bij een shared webhostingpakket (bijv. 1blu, TransIP, Hostnet, Antagonist, IONOS, Hetzner, Strato) installeert de provider de beveiligingsupdates. Jij kiest alleen de PHP-branch.

Log in op het klantenportaal van je hostingprovider.
Open je hostingpakket en zoek naar „PHP-versie” of „PHP-instellingen” (afhankelijk van de hoster soms onder „Domeinen” of „Instellingen”).
Kijk welke PHP-versie is ingesteld. Staat daar 8.1 of ouder, kies dan PHP 8.3 of 8.4 en sla op. Blijf anders bij je huidige branch – de provider installeert de patchupdates.
Controleer met het controlebestand of een veilige versie (8.2.35, 8.3.36, 8.4.27, 8.5.12) actief is. Zo niet: stuur een bericht naar je provider (berichttekst hieronder).

PleskBeheerinterface Plesk

Inloggen op Plesk → Websites & domeinen → selecteer je domein.
Klik op „PHP” of „PHP-instellingen”.
Kies onder „PHP-versie” 8.3 (of nieuwer), behoud de uitvoering als „FPM-toepassing”, klik op OK.
Als serverbeheerder aanvullend: open Extra & instellingen → Updates en installeer beschikbare PHP-componentupdates (aanduiding afhankelijk van Plesk-versie).
Controleer met het testbestand of een veilige versie (8.2.35, 8.3.36, 8.4.27, 8.5.12) draait.

cPanelBeheerinterface cPanel / WHM

Inloggen op cPanel en open „MultiPHP Manager” (bij sommige aanbieders heet dit „PHP-versie selecteren” of „Select PHP Version”).
Vink je domein aan, kies PHP 8.3 (of nieuwer) en klik op Toepassen.
Het fixniveau wordt geïnstalleerd door de provider of serverbeheerder (in WHM via de systeemupdates).
Controleer met het testbestand of een veilige versie (8.2.35, 8.3.36, 8.4.27, 8.5.12) actief is. Zo niet: neem contact op met je provider (tekst hieronder).

Eigen server: Ubuntu of DebianToegang via SSH, pakketbeheer via apt

Voorbeeld voor PHP 8.3 – vervang 8.3 door jouw branch. In het controleresultaat vult de assistent jouw versie automatisch in.

Geïnstalleerde PHP-pakketten tonen:
```
dpkg -l | grep -E '^ii +php[0-9.]+-(fpm|cli|common)'
```
Pakketbronnen bijwerken en de PHP-pakketten van deze branch updaten:
```
sudo apt update && sudo apt install --only-upgrade 'php8.3*'
```

PHP-processen herstarten:

sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2   # of: sudo systemctl restart nginx

Versie controleren:
```
php8.3 -v
```
De opdrachtregel kan afwijken – het resultaat van het controlebestand is doorslaggevend.
Blijft de versie onder het vereiste fixniveau (typisch bij distributiepakketten), controleer dan op backports:
```
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961[89]'
```
Als beide CVE-nummers verschijnen, is de fix aanwezig. Haal anders pakketten uit een actuele bron (bijv. Ondřej Surý) of vraag je beheerder.

Eigen server: AlmaLinux, Rocky, RHELToegang via SSH, pakketbeheer via dnf

Voorbeeld voor PHP 8.3 – vervang 8.3 door jouw branch. In het controleresultaat vult de assistent jouw versie automatisch in.

PHP-pakketten bijwerken (bijv. via Remi of AppStream):
```
sudo dnf upgrade 'php*'
```

PHP-FPM en webserver herstarten:

sudo systemctl restart php-fpm
sudo systemctl restart httpd   # of: sudo systemctl restart nginx

Als de versie onder het fixniveau blijft, controleer de backport:
```
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961[89]'
```
Controleer met het testbestand of een veilige versie (8.2.35, 8.3.36, 8.4.27, 8.5.12) draait.

DockerPHP draait in een container

Voorbeeld voor PHP 8.3 – vervang 8.3 door jouw branch. In het controleresultaat vult de assistent jouw versie automatisch in.

Stel in het Dockerfile de basis-image in op de gecorrigeerde versie (kies de passende variant -fpm, -apache of -cli):
```
FROM php:8.3.36-fpm
```
Zodra de officiële image beschikbaar is; trek anders php:8.3-fpm opnieuw binnen.
Bouw de image opnieuw en herstart de container:
```
docker compose build --pull
docker compose up -d
```
Controleer de versie in de container (pas servicenaam aan):
```
docker compose exec app php -v
```

Geen update mogelijk?

Schrijf je hostingprovider – de tekst is klaar

Kun je de versie niet zelf wijzigen of ontbreekt de patch nog, kopieer dan deze tekst, vul domein en naam aan en stuur hem naar je provider.

Hallo,

voor mijn website [JE DOMEIN] wil ik graag de kritieke PHP-beveiligingslekken CVE-2026-109618 en CVE-2026-109619 oplossen (gepubliceerd op 21-10-2026). Volgens het PHP-project zijn deze verholpen in de volgende versies: PHP 8.2: vanaf 8.2.35, PHP 8.3: vanaf 8.3.36, PHP 8.4: vanaf 8.4.27, PHP 8.5: vanaf 8.5.12.

Zou u alstublieft
1. mijn website willen omzetten naar een veilige versie of deze update installeren en mij het exacte versienummer doorgeven, of
2. kunnen bevestigen dat uw pakket een gebackporteerde beveiligingsfix voor beide CVE's bevat?

Binnen welke termijn is dit haalbaar?

Alvast hartelijk dank en met vriendelijke groet,
[JE NAAM]

Achteraf

Controleren of het gelukt is

PHP-processen herstarten of een paar minuten wachten tot de hostingprovider de wijziging heeft doorgevoerd.
Website in de browser openen en kort de belangrijkste pagina’s en formulieren testen.
Met het controlebestand een nieuwe bevestigde controle uitvoeren – die toont de versie die je website echt uitvoert.
Controlebestand daarna weer verwijderen.

Speciaal geval

Oude versie (PHP 8.1 of ouder)

Voor deze branches levert het PHP-project geen beveiligingsupdates meer. Een overstap naar 8.3 of 8.4 kan oudere plug-ins, thema’s of eigen code verstoren. Zo pak je het veilig aan:

Back-up maken.
Eerst het CMS (bijv. WordPress, Shopware, TYPO3), plug-ins en thema’s bijwerken naar de nieuwste versie.
Indien mogelijk eerst een testkopie (staging) omzetten – veel hostingproviders bieden dat met één klik aan.
PHP-versie omzetten en de website grondig testen. Bij problemen kun je de instelling in het klantenpaneel meestal direct terugzetten.

Belangrijk

Een update verwijdert geen eerdere aanval

Beide lekken waren open tot de publicatie op 21-10-2026. De update dicht ze voor de toekomst, maar verwijdert niets wat eerder is binnengebracht. Let op onbekende bestanden, nieuwe beheerdersaccounts of ongewoon gedrag en laat de server bij twijfel door specialisten controleren.

Liever laten regelen?

Denkcode controleert de werkelijke PHP-versie en helpt bij de update. Mail naar anfrage@php-checker.de of bel.

Contact met Denkcode