PHP-hack: met AI gebouwde websites (Claude Code/ChatGPT/Lovable) lopen risico

Wat er is gebeurd, in simpele termen

• Wat is PHP: Een gratis programmeertaal die draait op de computer waar een website op staat (de "server"). WordPress draait erop, net als veel webshops en goedkope hostingpakketten. PHP draait op 69% van alle websites waarvan de servertaal bekend is.
• Wat een aanvaller kan doen: Eén verzoek naar je site sturen en daarna alles op je server uitvoeren: klantdata en wachtwoorden stelen, pagina's aanpassen of malware installeren. Je inlogpagina houdt het niet tegen.
• Waarom het urgent is: De details lekten uit voordat de fix klaar was. Cloudflare ziet de eerste aanvallen. In Nederland gingen onder meer DigiD, MijnOverheid en de site van de Tweede Kamer uit voorzorg offline, meldt de NOS.
• Waarom is het risico groter na de fix van 16:00? Nu weten alleen PHP-insiders hoe de hack werkt. Zodra de fix live is, kan iedereen zien welk lek er gedicht is, en beveiligingsbedrijf Sansec verwacht massale aanvallen binnen 15 minuten nadat de fix uitkomt.

Voor je developer: dit zijn de officiële ID-nummers van de twee lekken achter de PHP-hack, CVE-2026-109618 en CVE-2026-109619. Samen hebben ze de bijnaam "PHP2Shell". De ernstscore is 9,2 uit 10. Alles boven de 9 geldt als kritiek: direct actie ondernemen. Zulke hoge scores zijn zeldzaam: maar ongeveer 8% van de lekken die in 2025 gepubliceerd zijn kreeg de score kritiek, de meeste scoren lager. Je developer moet PHP updaten naar de gefixte versie zodra die uit is, of de site offline halen tot de update erop staat.

Loopt mijn met AI gebouwde website risico door de PHP-hack?

Nee, de meeste AI-codingtools, zoals Claude Code, ChatGPT of Lovable, kiezen zelden PHP voor een nieuwe site. Het risico zit in wat je erbij hebt gehaald: een contactformulier, een oud WordPress-blog, of een tool op je eigen server.

De meest voorkomende valkuil: een contactformulier. Vraag een AI om "een contactformulier op mijn hosting", en het schrijft vaak een klein PHP-bestand (bijvoorbeeld contact.php of mail.php) dat je het bericht mailt. Dat ene bestand is genoeg voor een aanvaller. Formulieren van diensten als Tally, Typeform of Netlify Forms zijn prima: die bedrijven draaien en updaten hun eigen servers.

Automatische updates lossen dit niet op. WordPress updatet zichzelf, niet de PHP eronder. Wordfence, een WordPress-beveiligingsbedrijf, waarschuwt dat je moet uitzoeken wie PHP updatet: je hostingbedrijf, je developer of jij.

Tools van derden om te checken op de PHP-hack

Deze populaire tools draaien op PHP. Heb je er een op je eigen hosting of server geïnstalleerd, dan loopt die risico tot de update erop staat.

Niets te doen voor jou: websites en tools die een bedrijf voor je host, zoals Webflow, Framer, Wix, Squarespace, Shopify, WordPress.com of Mailchimp. Dat bedrijf moet de fix installeren, niet jij.

Acties tegen de PHP-hack

De eerste drie stappen kosten een half uur en vragen geen technische kennis.

• AI-plugins om op te letten: Dit zijn veelgebruikte tools onder vibe-coders die PHP kunnen gebruiken zonder dat je het weet:

• →AI-websitebouwers zoals Elementor AI, Divi AI of 10Web. Onder de motorkap zijn ze allemaal WordPress.
• →Contentsystemen Craft CMS en Drupal.
• →Controlepanelen voor servers cPanel, Plesk en DirectAdmin, de bekendste bij goedkope hosting.
• →Websitestatistieken met Matomo, als je het zelf hebt geïnstalleerd.
• →Klantenservice met FreeScout.
• →CRM met SuiteCRM.
• →Afspraken inplannen met Easy!Appointments.
• →Webshops op OpenCart.
• →Oude landingspagina's die nog online staan bij een goedkoop hostingbedrijf, vaak met een PHP-contactformulier.

• Zoek uit welke PHP gebruiken. Vraag het je hostingbedrijf, of laat je AI-codingtool het checken (prompt hieronder).
• Stuur je host of developer nu een bericht over elke PHP-site: "Installeren jullie vandaag de PHP-update voor CVE-2026-109618 en CVE-2026-109619, en hoe laat?" Goede WordPress-hosts doen het voor je. Huur je zelf een server, dan doet niemand het tenzij je erom vraagt.
• Zet er een beveiliger voor, zoals Cloudflare of een vergelijkbare dienst als Sucuri, Akamai of AWS WAF (Vercel en Netlify hebben ook een ingebouwde firewall voor sites die zij hosten). Die zit tussen bezoekers en je site en blokkeert verkeerd verkeer. Cloudflare voegde noodregels toe op alle abonnementen, ook het gratis. Een developer zet het in een uur aan. Het koopt tijd; het is niet de fix.
• Zorg dat de update vandaag geïnstalleerd wordt, snel na 16:00 Nederlandse tijd. Vraag om een schriftelijke bevestiging.
• PHP 8.1 of ouder? Ga offline. Er is geen fix voor die versies. Houd de site offline tot een developer hem naar een nieuwere versie zet.
• Offline halen? Laat een professional het doen. Toon een "zo terug"-pagina. Zet PHP niet zomaar uit: op sommige servers zie je dan je wachtwoorden voor iedereen, ontdekte Mattias Geniar.
• Verander na de update je wachtwoorden en sleutels van elke PHP-site die zonder fix draaide: database, beheerdersaccounts en sleutels voor diensten als Stripe of Mailchimp.

Goed om te weten

• Alleen de update lost het op. Al het andere, Cloudflare ook, koopt alleen tijd. Een PHP-kernontwikkelaar zei dat letterlijk.
• Waarom het 15 minuten ná de fix erger wordt. De fix laat precies zien welk stuk van PHP veranderd is. Aanvallers vergelijken de oude en nieuwe code en zien zo het lek. Dan bouwen ze een aanval en laten software het internet afzoeken naar sites die nog niet geüpdatet zijn. Vandaag kennen maar een paar mensen de details. Na de fix heeft iedereen ze. Daarom verwacht Sansec massale aanvallen binnen 15 minuten, en daarom moet je klaarstaan om te updaten zodra de fix uit is.
• Wachtwoorden en beveiligingsplugins helpen niet. De aanval gebeurt voordat je site checkt wie er ingelogd is.
• Cloudflare werkt alleen als aanvallers er niet omheen kunnen. Vraag je developer te zorgen dat je server alleen bezoekers accepteert die via Cloudflare komen.
• De server moet na de update herstarten. Anders blijft de oude versie draaien.
• Check eerst voor je zegt "wij zitten goed". Check elk subdomein en elke tool voor je het tegen klanten of investeerders zegt.
• Het nieuws verandert nog. Volg de NOS, Reuters, The Independent of SecurityWeek.

Voor je developer: tot de update adviseert Sansec twee tijdelijke PHP-instellingen (session upload progress uit, strict session mode aan) en het blokkeren van multipart-verzoeken (bestandsuploads) waar uploads niet nodig zijn. Niet bewezen dat het de aanval stopt. Mattias Geniar heeft geteste configuraties.

Laat je AI-codingtool checken of de PHP-hack je raakt

Kopieer en plak de tekst hieronder. De AI doet het checkwerk en legt de uitkomst uit in gewone woorden. Hij kijkt alleen, en vraagt het voordat hij iets verandert.

• Claude Code: open het in de map van je website en plak de tekst.
• Lovable: plak het in de chat van je project.
• ChatGPT: dat kan je hosting niet zien, dus plak eerst je lijst met websites en wie ze host.

Er is een urgent beveiligingsprobleem in PHP (CVE-2026-109618 en CVE-2026-109619, "PHP2Shell"). Aanvallers kunnen elke website overnemen die op PHP draait. De fix komt uit op 21 oktober 2026 om 14:00 UTC.

Ik ben niet technisch. Check of ik risico loop en leg alles uit in simpele woorden.

1. Zoek in dit project en de instellingen naar alles wat PHP gebruikt (bijvoorbeeld .php-bestanden, WordPress, Laravel, een php Docker-image of serverinstellingen).
2. Maak een lijst van elke website, elk domein en subdomein dat je kunt vinden, en waar elk ervan gehost wordt (bijvoorbeeld Vercel, Netlify, een gehuurde server of een hostingbedrijf).
3. Geef me een simpele tabel: website, gebruikt PHP (ja / nee / weet ik niet), wie de update moet installeren (ik, het hostingbedrijf of weet ik niet) en hoe urgent het is.
4. Voor elke site die PHP gebruikt: vertel me in simpele stappen wat ik vandaag moet doen, en hoe ik het risico kan verkleinen tot de update erop staat. Is de PHP-versie 8.1 of ouder, vertel me dan hoe ik die site veilig offline haal.
5. Schrijf een kort bericht dat ik naar elk hostingbedrijf of elke developer kan sturen om te vragen wanneer zij de fix installeren.
6. Vertel me welke wachtwoorden en sleutels ik na de update moet veranderen.

Regels: alleen kijken en rapporteren. Verander niets aan een live website, server of domein zonder het me eerst te laten zien en mijn OK te krijgen. Weet je iets niet zeker, zeg dan "weet ik niet" in plaats van te gokken.

Nergens PHP gevonden? Dan zit je waarschijnlijk goed. Bewaar de lijst met websites voor de volgende beveiligingspaniek.

Meer lezen

Geschreven op 21 oktober 2026, voordat de fix uitkwam. Check de nieuwspagina van PHP voor het laatste nieuws.

Van de bron

• PHP: aankondiging van de beveiligingsupdate
• CERT-EU: waarschuwing en advies
• Cloudflare: noodregels voor gratis abonnementen en betaalde abonnementen. De regels noemen PHP niet; Cloudflare's CTO koppelt ze aan deze aanval.
• Sansec: tijdlijn en advies

Over de AI-tools

• Lovable FAQ: wat Lovable bouwt en waar het gehost wordt
• OpenAI Help: codeblokken en previews in ChatGPT

In het nieuws

• NOS: Websites van overheid en in onderwijs offline vanwege lek, risico op hacks
• Reuters: Cyber agency warns websites may go dark as PHP prepares critical fix
• The Independent: Some websites may go down as huge internet vulnerabilities found
• SecurityWeek: Mass exploitation looms for leaked critical PHP flaws

Achtergrond

• W3Techs: gebruiksstatistieken van PHP
• The PHP Foundation
• Mattias Geniar: geteste tijdelijke maatregelen, voor developers