Sinds 21 oktober 2026 is de vraag "welke PHP-versie draait mijn site?" urgent geworden. De twee PHP2Shell-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) zitten in PHP zelf, de runtime onder WordPress, niet in WordPress, een thema of een plugin. WordPress bijwerken verandert hier niets aan. Alleen een gepatchte PHP-release doet dat: 8.2.35, 8.3.36, 8.4.27 of 8.5.12, of een pakket van je hostingleverancier dat de fix expliciet bevat.
De eerste stap is dus simpelweg uitzoeken wat je gebruikt. Dat kan op vier manieren, van makkelijk naar technisch.
1. WordPress Sitediagnose
Log in op het WordPress-dashboard en open Gereedschap > Sitediagnose. Het tabblad Info heeft een onderdeel Server met de PHP-versie, de serverarchitectuur en de PHP SAPI (de manier waarop de webserver PHP uitvoert). Het tabblad Status toont ook een waarschuwing als WordPress je PHP-versie verouderd vindt, maar die controle gaat over end-of-life-reeksen in het algemeen, niet over dit specifieke advies. Lees dus altijd het exacte nummer.
Dit is de versie waarmee WordPress daadwerkelijk draait, en dat is wat telt.
2. Je hostingpaneel
Bij de meeste hostingaccounts kies je per domein een PHP-versie:
- cPanel: MultiPHP Manager, of Select PHP Version op CloudLinux-servers.
- Plesk: Websites & Domeinen > PHP-instellingen (of het tabblad PHP van het domein).
- DirectAdmin: PHP Version Selector.
- Managed WordPress-hosting: meestal een instelling PHP-versie of PHP engine in het sitedashboard.
Het paneel toont de reeks (bijvoorbeeld 8.3) en vaak het volledige patchnummer. Toont het alleen de reeks, gebruik dan Sitediagnose of een phpinfo-pagina voor het volledige nummer.
3. Een tijdelijke phpinfo-pagina
Maak een bestand info.php met deze inhoud:
<?php phpinfo();
Upload het naar de hoofdmap van de site en open https://jouwdomein.nl/info.php. De eerste regel toont de exacte PHP-versie en de rij Server API vertelt of de site onder PHP-FPM, Apache mod_php, CGI of LiteSpeed draait. Dat detail is belangrijk: het advies van PHP zelf noemt Apache mod_php de opzet met het hoogste risico.
Verwijder het bestand zodra je het hebt gelezen. Een phpinfo-pagina verraadt veel over je server en hoort nooit online te blijven.
4. Op een VPS of je eigen server
Beheer je de server zelf, houd er dan rekening mee dat de opdrachtregel en de webserver verschillende PHP-builds kunnen gebruiken. php -v toont alleen de versie van de opdrachtregel. Voor de versie die je site bedient, controleer je de service die hem uitvoert, bijvoorbeeld:
php-fpm8.3 -v # PHP-FPM
apachectl -M | grep php # Apache met mod_php
systemctl status php8.3-fpm
Of gebruik de phpinfo-pagina uit stap 3, die altijd de build voor het web rapporteert.
Het nummer lezen
Vergelijk wat je vond met de gepatchte releases:
| Reeks | Gepatchte release | Status |
|---|---|---|
| PHP 8.5 | 8.5.12 | Ondersteund |
| PHP 8.4 | 8.4.27 | Ondersteund |
| PHP 8.3 | 8.3.36 | Alleen beveiligingsfixes |
| PHP 8.2 | 8.2.35 | Alleen beveiligingsfixes, eindigt 31 december 2026 |
| PHP 8.1 en ouder | geen | End of life, geen officiële release |
Alles onder de gepatchte release in zijn reeks is kwetsbaar. PHP 8.1, 8.0, 7.4 en ouder krijgen helemaal geen release van het PHP-project; zie ons artikel over upgraden vanaf end-of-life PHP.
Eén belangrijke uitzondering: pakketten van leveranciers
Linux-distributies zoals Ubuntu, Debian en Red Hat porteren beveiligingsfixes terug zonder het upstream-versienummer te veranderen. Een volledig gepatchte Ubuntu 24.04-server kan nog steeds PHP 8.3.6 melden, omdat dat de pakketversie is, en toch veilig zijn. Hetzelfde geldt voor sommige hostingproviders die hun eigen PHP-pakketten bouwen.
Ligt je nummer onder de gepatchte release maar gebruikt je server een distributiepakket, controleer dan of de changelog van het pakket CVE-2026-109618 noemt, bijvoorbeeld met apt changelog php8.3-fpm op Ubuntu of Debian, of vraag je hostingprovider om schriftelijk te bevestigen dat het gepatchte pakket is geïnstalleerd en de PHP-workers zijn herstart.
Na de update
Een bijgewerkt pakket werkt pas nadat PHP is herstart. Daarna:
- Open Sitediagnose opnieuw en bevestig de nieuwe versie.
- Laad de homepage, een paar onderliggende pagina's, de inlogpagina en alle formulieren of de checkout.
- Controleer het PHP-foutlogboek op nieuwe waarschuwingen. Een patchrelease binnen dezelfde reeks breekt zelden iets; een sprong tussen reeksen (bijvoorbeeld van 7.4 naar 8.3) kan dat wel, en verdient daarom een geplande upgrade in plaats van een snelle omschakeling.
Als je nog niet kunt updaten
Moet de update wachten op je hostingprovider, dan noemt PHP tussentijdse maatregelen die de blootstelling verkleinen: session.upload_progress.enabled uitschakelen, verstandige limieten voor de verzoekgrootte en een web application firewall. Het zijn geen oplossingen. De gepatchte release moet volgen zodra die beschikbaar is.
Wil je een tweede paar ogen? Stuur ons je websiteadres en hostingprovider en we bevestigen de versie en wat er, als dat nodig is, moet gebeuren.