Kort gezegd: Een groot deel van de wijdverbreide contentmanagementsystemen (CMS) en webshopsystemen is in PHP geschreven, waaronder WordPress met WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento respectievelijk Adobe Commerce en PrestaShop. Daarbij komen interne toepassingen als Nextcloud, Moodle, MediaWiki en Matomo. Wie een van deze systemen exploiteert, is getroffen door lekken in de PHP-interpreter zoals PHP2Shell, hoe actueel het CMS zelf ook is.
Waarom zoveel websites op PHP draaien
PHP is sinds de jaren negentig op webservers toegesneden en bij vrijwel elke webhoster beschikbaar. Een CMS op PHP-basis kan daarom zonder eigen serverinfrastructuur worden gedraaid, wat vooral voor kleine en middelgrote bedrijven, verenigingen en overheden aantrekkelijk was en is.
Voor exploitanten betekent dit: de website is niet alleen „WordPress” of „Shopware”, maar een stapel van meerdere lagen. Onderaan draait het besturingssysteem, daarboven de webserver, dan de PHP-interpreter en helemaal bovenaan het CMS met uitbreidingen. Elke laag heeft eigen updates nodig. Een lek in PHP treft alle systemen die erop voortbouwen.
Daar komen de uitbreidingen bij: plug-ins, thema's, modules en webshopkoppelingen zijn eveneens PHP-code, vaak van kleine aanbieders. Ze draaien met dezelfde rechten als het CMS en worden door dezelfde PHP-runtime uitgevoerd. Een CMS met veel uitbreidingen heeft daarom een groter aanvalsoppervlak dan een slanke installatie, ook als de kern actueel is.
Cijfers over de verspreiding van afzonderlijke systemen laten wij hier weg. Daarvoor bestaat geen bron die wij als betrouwbaar en vergelijkbaar beoordelen.
Wijdverbreide CMS'en en webshopsystemen op PHP-basis
De tabel noemt bekende systemen en wat de fabrikanten zelf over hun technische basis zeggen. Versievereisten noemen wij bewust niet, omdat ze met elke release veranderen.
| Systeem | Soort | Opmerking over de technische basis |
|---|---|---|
| WordPress, WooCommerce | CMS, webshopuitbreiding | PHP-toepassing, MySQL of MariaDB volgens vereisten |
| TYPO3 | CMS | heeft volgens documentatie webserver, PHP en SQL-database nodig |
| Joomla | CMS | PHP met MySQL, MariaDB of PostgreSQL |
| Drupal | CMS | PHP; extensies van de kern in core/composer.json |
| Contao | CMS | volgens fabrikant op het Symfony-full-stackframework |
| Craft CMS | CMS | fabrikant noemt Yii onder de gebruikte hulpmiddelen |
| Shopware 6 | webshop | ontwikkelaarsdocumentatie behandelt plug-ins als Symfony-bundels |
| Magento Open Source, Adobe Commerce | webshop | PHP en Composer in de systeemvereisten |
| PrestaShop | webshop | PHP met eigen compatibiliteitstabel |
| Nextcloud | bestandsopslag | Apache met mod_php of PHP-FPM, Nginx met PHP-FPM |
| Moodle | leerplatform | volgens documentatie in PHP ontwikkeld |
| MediaWiki, Matomo | wiki, statistiek | PHP volgens installatievereisten |
Veel van deze systemen gebruiken intern bouwstenen uit PHP-frameworks en laden bibliotheken via Composer. Voor de meeste hebben wij eigen pagina's met aanwijzingen voor beveiliging, bijvoorbeeld WordPress, Shopware 6 en TYPO3.
Hoe kom ik erachter of mijn website op PHP draait?
Veel bedrijven weten niet precies welke systemen bij hen draaien, vooral als een bureau de website heeft gebouwd. Deze stappen scheppen duidelijkheid:
- Inventaris aanleggen: Alle domeinen, subdomeinen en interne webinterfaces opsommen, ook testsystemen en oude campagnepagina's.
- Hoster of bureau vragen: Welk systeem, welke PHP-versie, welke uitvoeringsmodus (PHP-FPM, mod_php, LiteSpeed)? Vraag om een schriftelijk antwoord.
- Hostingpaneel bekijken: In Plesk, cPanel en vergelijkbare omgevingen staat de PHP-versie per website. Houd er rekening mee dat backports van de distributie het getoonde nummer niet veranderen.
- Op de server controleren: Beheerders zien aan de processen en aan de configuratie van de webserver welke PHP-runtime daadwerkelijk uitlevert.
- Apparaten niet vergeten: NAS-systemen, routers en appliances hebben vaak een webinterface die eveneens op PHP kan draaien.
# Op de server: welke PHP-processen draaien er?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Systeemvereisten serieus nemen
Elke fabrikant publiceert met welke PHP-versies zijn software is getest. Deze gegevens zijn de basis voor elke updateplanning: een PHP-update naar een versie die het CMS nog niet ondersteunt, kan de website platleggen. Een CMS dat alleen met een PHP-versie zonder beveiligingsupdates draait, is een blijvend risico.
Controleer daarom volgens de systeemvereisten van de fabrikant voor uw exacte versie welke PHP-versies in aanmerking komen, en vergelijk dat met de verholpen PHP-versies. Voor systemen die alleen met PHP 8.1 of ouder draaien, zijn er van het PHP-project geen officiële updates meer.
Wat PHP2Shell betekent voor CMS- en webshopexploitanten
PHP2Shell bestaat uit de lekken CVE-2026-109618 en CVE-2026-109619 in de PHP-interpreter, beide met CVSS 9,2. Ze maken het uitvoeren van schadelijke code zonder aanmelding mogelijk. Verholpen zijn ze in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Een CMS-update sluit deze lekken niet; waarom, legt ons artikel Waarom een WordPress-update tegen PHP2Shell niet helpt uit.
Voor webshops weegt dat bijzonder zwaar, omdat daar klantgegevens, bestellingen en toegangsgegevens voor betaal- en verzenddiensten staan. Een patch verwijdert bovendien geen schadelijke software die eerder is ingebracht, en bewijst niet dat er niets is gebeurd.
Hoe helpt PHP SOS concreet?
- Wij maken een inventaris van uw PHP-gebaseerde websites en interne toepassingen met systeem, PHP-versie en uitvoeringsmodus.
- Wij vergelijken de fabrikantvereisten met de verholpen PHP-versies en plannen de update per systeem.
- Wij installeren de PHP-updates, starten alle processen opnieuw en controleren daarna of CMS en webshop correct draaien.
- Bij vermoeden van een incident onderzoeken wij het systeem in het kader van de PHP2Shell-noodhulp.
Veelgestelde vragen
Draait WordPress op PHP?
Ja. WordPress is een PHP-toepassing en heeft volgens de officiële vereisten PHP en een MySQL- of MariaDB-database nodig. Daardoor raken lekken in de PHP-interpreter elke WordPress-installatie, ongeacht de stand van WordPress zelf.
Helpt een CMS-update tegen PHP2Shell?
Nee. Het lek zit in PHP, niet in het CMS. Volgens drweb.de plant WordPress.org daarom ook geen eigen update ertegen. Gesloten wordt het alleen door een verholpen PHP-versie en de herstart van alle PHP-processen.
Hoe weet ik welke PHP-versie mijn webshop nodig heeft?
Uit de systeemvereisten van de fabrikant voor uw concrete versie. Deze gegevens veranderen met elke grotere release, daarom moet u ze rechtstreeks bij de fabrikant nalezen en niet uit oudere handleidingen overnemen.
Zijn ook interne toepassingen getroffen?
Ja, als ze op PHP draaien. Bestandsopslag als Nextcloud, leerplatforms als Moodle, interne wiki's met MediaWiki of Matomo voor statistieken zijn PHP-toepassingen. Ze worden bij inventarisaties vaak vergeten.
Is een website zonder .php in het adres geen PHP?
Niet per se. Moderne systemen leiden alle adressen via een centrale index.php, zodat in de URL nooit .php verschijnt. Zeker weet u het alleen door een blik op de server of een mededeling van hoster of bureau.