PHP2Shell (oktober 2026): wat het lek betekent voor je WordPress-site en je AI-zichtbaarheid

2026-10-22ai-search6 min leestijd

Op 21 oktober 2026 bracht het PHP-team noodupdates uit voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, samen bekend als "PHP2Shell". Een aanvaller kan daarmee zonder inloggegevens code uitvoeren op een webserver of het geheugen van de server uitlezen. Beide lekken kregen een CVSS-score van 9,2.

Draait je website op WordPress, dan draait hij op PHP. Dit artikel legt uit wat er aan de hand is, welke vier vragen je vandaag aan je websitebouwer of hoster stelt, en wat dit soort lekken te maken heeft met hoe goed AI-assistenten je site kunnen vinden.

Wat er aan de hand is

Het lek zit in PHP zelf, de taal waarop WordPress, Drupal, Joomla en veel andere systemen draaien. Kwetsbaar zijn alle PHP-versies van 5.4 tot en met 8.5.11. De fixes zitten in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Voor PHP 8.1 en ouder brengt het PHP-project geen fix uit.

De onderzoekers van Wiz lieten zien dat de aanval werkt tegen de nieuwste versies van WordPress, Drupal en Joomla. Details lekten op 20 oktober uit, een dag voor de officiële patch. Amazon zag in zijn eigen honeypotnetwerk al op 17 oktober een poging tot misbruik.

In Nederland gingen op 21 oktober uit voorzorg onder meer DigiD, MijnOverheid, de website van de Tweede Kamer en die van het NCSC tijdelijk offline. Het Britse NCSC adviseerde organisaties te overwegen systemen offline te halen die niet direct te patchen zijn.

Waarom een bijgewerkte WordPress hier niet helpt

Veel site-eigenaren denken: mijn WordPress staat op de nieuwste versie, dus ik zit goed. Bij PHP2Shell klopt dat niet. Het lek zit niet in WordPress, maar in de PHP-laag eronder, op de server. Die wordt bijgewerkt door je hostingpartij of door wie je server beheert, niet door de updateknop in WordPress.

Bij grote beheerde hostingpartijen gebeurt dat centraal. Draait je site op een eigen server of VPS, dan hangt het volledig af van wie die server beheert.

Vier vragen voor je websitebouwer of hoster

Stel deze vragen vandaag. Een "alles is up-to-date" beantwoordt er maar één van.

  1. Is PHP bijgewerkt naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12? Draait de site op 8.1 of ouder, dan is er geen officiële patch en is een upgrade nodig. Zo'n upgrade breekt vaak oudere thema's en plugins, dus reken op meer werk dan één klik.
  2. Is de webserver daarna herstart? Een nieuw PHP-pakket werkt pas als de draaiende PHP-processen opnieuw zijn opgestart. Tot die tijd draait de oude code door.
  3. Is nagekeken of de site in de tussentijd niet al is misbruikt? Er werd al aangevallen voordat de update beschikbaar was. Een patch verwijdert geen toegang die er al is.
  4. Zijn de wachtwoorden en sleutels vernieuwd? Denk aan het databasewachtwoord, API-koppelingen en de WordPress-sleutels. Het lek kan het geheugen van de server uitlezen, en daarin staan precies die gegevens.

De bredere les: elke laag is onderhoud

PHP2Shell staat niet op zichzelf. Dit jaar alleen al:

  • Juli 2026: "wp2shell", een kritieke aanvalsketen in WordPress zelf (opgelost in 6.8.6, 6.9.5 en 7.0.2), actief misbruikt.
  • September 2026: CVE-2026-87902, opnieuw een kritiek lek in WordPress (opgelost in 7.1.2), binnen een dag na de patch misbruikt.
  • Oktober 2026: PHP2Shell, in de laag onder WordPress.

Daarbij komen de plugins en thema's, waar het overgrote deel van de WordPress-lekken zit. Een gemiddelde WordPress-site heeft dus vier lagen die elk hun eigen updateritme hebben: PHP, WordPress, plugins en het thema. Bij elke nieuwe melding moet iemand snel handelen. Dat is geen falen van WordPress, het is de prijs van een systeem met veel bewegende delen.

Wat dit met AI-zichtbaarheid te maken heeft

Een veilige site is niet automatisch een zichtbare site. Maar dezelfde opzet die een site lastig te onderhouden maakt, staat ook AI-zichtbaarheid vaak in de weg. Drie dingen zien we in onze metingen terug.

AI-crawlers worden vaak op serverniveau tegengehouden

Om aanvallen te weren zetten hostingpartijen firewalls en botfilters in. Die houden regelmatig ook legitieme AI-crawlers tegen, zonder dat de site-eigenaar dat weet: de robots.txt staat alles toe, maar de server verbreekt de verbinding. In onze toegangschecks zien we dit patroon bij meerdere sites terug. Een AI-model dat je site niet kan lezen, kan hem ook niet citeren.

AI citeert wat het in zoekresultaten vindt

Als we in Lens nagaan waarom een AI-assistent een bedrijf niet noemt, is de meest voorkomende oorzaak niet dat de site onleesbaar is. De oorzaak is dat de site niet tussen de bronnen stond die het model raadpleegde. AI-assistenten bouwen voort op zoekresultaten. Een snelle site met per vraag een duidelijke pagina heeft daar meer kans dan een trage site met een paar algemene pagina's.

Snelheid en eenvoud tellen

Elke plugin voegt code, verzoeken en onderhoud toe. Een lichte opzet laadt sneller, is makkelijker te crawlen en makkelijker aan te passen. Toen wij hiveminds.nl op 12 mei 2026 omzetten naar server-rendering, steeg het gemiddelde aantal AI-crawls van 39,43 naar 80,31 per dag (7 dagen gemeten vóór de overstap, 94 dagen erna). Die overstap was van een JavaScript-app, niet van WordPress. WordPress rendert al op de server, dus dit cijfer is geen voorspelling voor een WordPress-site. Het laat wel zien hoe direct AI-crawlers reageren op wat een server teruggeeft.

Wanneer overstappen zinvol is, en wanneer niet

Overstappen is geen garantie voor meer AI-citaties. Citaties komen van aanwezig zijn in zoekresultaten en van content die precies de vraag van een klant beantwoordt. Een goed onderhouden WordPress-site kan dat prima.

Overstappen is wel zinvol als:

  • de site draait op PHP 8.1 of ouder, en een upgrade toch al grote aanpassingen vraagt;
  • er geen vaste partij is die PHP, WordPress, plugins en thema bijhoudt;
  • de site via formulieren persoonsgegevens verwerkt, en je het aanvalsoppervlak wilt verkleinen;
  • je zelf aanpassingen wilt doen zonder bang te zijn dat er iets breekt.

De sites die wij dit jaar naar een statische opzet verhuisden, hebben geen PHP op de server. PHP2Shell raakt ze daardoor niet.

Wat wij doen

Wij meten hoe zichtbaar een bedrijf is in ChatGPT, Claude, Perplexity en Google AI Overviews, en waarom het wel of niet genoemd wordt. Waar het nodig is, verhuizen we een site naar een snelle, onderhoudsarme opzet, met behoud van content en domein.

Wil je weten waar jouw site staat? Vraag een AI-zichtbaarheidscheck aan.

Bronnen

Hoe scoort jouw bedrijf?

Vraag een gratis AI Visibility Snapshot aan: 1 pagina, geen verplichtingen.

Vraag een Snapshot aan →