Dringende PHP-update: veilig uitvoeren
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: Zijn er beveiligingsupdates uitgebracht voor de versie van PHP die je website gebruikt? Plan dan zo snel mogelijk de installatie ervan. Stel eerst vast op welke versie van PHP de website draait, maak een back-up en controleer of de website compatibel is met de update. De details van het bericht dat wordt aangeduid als een publicatie van 20 oktober 2026 moeten op de officiële website van PHP worden bevestigd. Zonder de inhoud te verifiëren, is niet betrouwbaar vast te stellen om welke kwetsbaarheden het gaat en welke versienummers de oplossingen bevatten.
Wat een update van PHP verandert aan je website
PHP is een omgeving die applicatiecode op de server uitvoert. Onder meer WordPress, veel webwinkels en maatwerkapplicaties maken er gebruik van. Een update van WordPress werkt PHP niet automatisch bij: het zijn afzonderlijke onderdelen, die doorgaans op verschillende plekken worden beheerd.
Een kwetsbaarheid in PHP kan betrekking hebben op een specifiek mechanisme, een extensie of een manier waarop gegevens worden verwerkt. De impact hangt af van de serverconfiguratie en de werking van de applicatie. Alleen het feit dat je PHP gebruikt, bewijst niet dat je website is aangevallen. Maar ook het ontbreken van zichtbare problemen bewijst niet dat de website veilig is.
Controleer in het officiële bericht van PHP vooral welke versies getroffen zijn, welke releases de oplossingen bevatten en of misbruik van de kwetsbaarheid een bepaalde configuratie vereist. Kun je die voorwaarden niet beoordelen? Stuur het bericht dan door naar de beheerder of de technische ondersteuning van je hostingprovider. Baseer je beslissing niet alleen op een korte melding over een ‘kritieke kwetsbaarheid’.
Zo controleer je welke versie van PHP je website gebruikt
Het eenvoudigst is om in het hostingpaneel de instellingen voor PHP van de betreffende domeinnaam op te zoeken. In WordPress vind je informatie over de serveromgeving ook in het hulpmiddel ‘Sitediagnose’, op het tabblad met informatie. Controleer elke belangrijke website afzonderlijk: verschillende domeinen binnen één account kunnen verschillende versies gebruiken.
Heb je toegang tot de terminal, dan toont het commando php -v welke versie van PHP beschikbaar is op de opdrachtregel. Dat hoeft niet dezelfde versie te zijn als die waarop de website draait. Vergelijk de uitkomst met de configuratie van de website in het hostingpaneel of vraag de beheerder om bevestiging.
Publiceer geen openbaar toegankelijk bestand met de functie phpinfo(). Daarmee maak je configuratiedetails zichtbaar die niet voor willekeurige bezoekers toegankelijk horen te zijn. Is zo’n bestand voor diagnostiek aangemaakt, verwijder het dan nadat je de omgeving hebt gecontroleerd.
Wat je aan de hostingprovider overlaat en wat je zelf doet
Bij shared hosting installeert de provider doorgaans de beveiligingsupdates voor PHP. Als gebruiker kun je echter nog steeds verantwoordelijk zijn voor het kiezen van een ondersteunde versiereeks van PHP en voor de compatibiliteit van je applicatie. Dat er een nieuwere versie in het hostingpaneel staat, betekent niet dat je domein die al gebruikt.
Je kunt de technische ondersteuning dit korte bericht sturen:
Kunt u bevestigen op welke versie van PHP mijn domein draait en of die de beveiligingsupdates bevat uit het bericht van PHP dat wordt aangeduid als een publicatie van 20 oktober 2026? Als een andere versie nodig is, hoor ik graag welke ondersteunde versie beschikbaar is en hoe ik bij problemen de vorige configuratie kan herstellen.
Op een eigen VPS of dedicated server voert de beheerder de update uit, tenzij dit onder een beheerdienst valt. Die moet de pakketten van PHP, de gebruikte extensies en de processen die de website bedienen controleren, bijvoorbeeld PHP-FPM. Besturingssysteemdistributies kunnen beveiligingsupdates leveren zonder het versienummer gelijk te trekken met de nieuwste release van PHP. In dat geval biedt het beveiligingsbericht van de pakketleverancier de bevestiging.
Stap voor stap veilig bijwerken
Een beveiligingsupdate binnen de gebruikte versiereeks van PHP is iets anders dan overstappen naar een andere versiereeks. Voor die overstap kunnen aanpassingen aan de code, plug-ins of serverextensies nodig zijn. Kies daarom niet zomaar het hoogste versienummer dat in het hostingpaneel beschikbaar is.
- Maak een back-up van de bestanden en de database. Zorg dat je weet hoe je de website herstelt en dat de back-up ook bij problemen met de hosting beschikbaar blijft.
- Controleer de compatibiliteit van de applicatie. Ga de vereisten van het systeem, het thema, de plug-ins en de bibliotheken na. Werk afhankelijkheden bij waar dat nodig is.
- Test de wijziging op een kopie van de website. De testomgeving moet zo nauw mogelijk overeenkomen met de productieomgeving. Schakel echte betalingen en het versturen van berichten aan klanten in de testomgeving uit.
- Voer de update op een afgesproken moment uit. Wordt een kwetsbaarheid actief misbruikt, stel de update dan niet uit alleen om op het ideale onderhoudsmoment te wachten.
- Controleer de functies en de foutlogboeken. Test het inloggen, formulieren, het verzenden van e-mail en periodieke taken. Test bij een webwinkel ook de winkelwagen en betalingen in testmodus.
Zo kan de homepage van een webwinkel er na de update goed uitzien, terwijl pas bij het plaatsen van een bestelling blijkt dat een oude betaalplug-in niet meer werkt. Alleen de website openen is dus niet voldoende om de update als geslaagd te beschouwen.
Wat als de website niet compatibel is met een veilige versie?
Terugkeren naar de vorige configuratie kan de werking tijdelijk herstellen, maar neemt de kwetsbaarheid niet weg. Draai je de wijziging terug, spreek dan tegelijk af wanneer de applicatie wordt hersteld. Afhankelijk van de dreiging kan de beheerder adviseren om de kwetsbare functie tijdelijk uit te schakelen, de toegang te beperken of de website tijdelijk voor onderhoud offline te halen.
Een update van PHP verhelpt ook niet de gevolgen van een eerdere inbraak. Bij onbekende beheerdersaccounts, gewijzigde bestanden of verdachte omleidingen is een afzonderlijke beveiligingscontrole nodig.
De eerste praktische stap: stel vandaag vast op welke versie van PHP je domein draait en laat bevestigen of die de vereiste beveiligingsupdates bevat. Bepaal pas op basis daarvan of je een beveiligingsupdate installeert, naar een andere versiereeks van PHP overstapt of de incompatibele applicatie met spoed laat herstellen.
Lees ook: Heeft een andere domeinnaam voor een bestaand project zin?
Lees ook
