PHP-lek en Umbraco: wat betekent dit voor je website?

Een PHP-melding gaat niet automatisch over jouw CMS

Op 21 oktober 2026 verschenen PHP-updates voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Volgens de officiële PHP-melding kunnen aanvallers daarmee op kwetsbare systemen zonder inloggegevens code uitvoeren. Het probleem zit in PHP zelf: de software die PHP-code op de server uitvoert.

Umbraco is gebouwd op .NET en gebruikt PHP niet als basis. Deze PHP-lekken raken Umbraco CMS zelf daarom niet rechtstreeks. Dat zegt nog niets over een losse webshop, campagnesite of externe toepassing naast je Umbraco-website; daarvoor moet je de gebruikte techniek afzonderlijk laten vaststellen.

Drie vragen die duidelijk maken waar je moet kijken

• Welke toepassing onderzoeken we? Maak onderscheid tussen je hoofdwebsite, losse websites en diensten van leveranciers. Noteer per toepassing het adres en de verantwoordelijke partij. Zo voorkom je dat een antwoord over één website wordt uitgelegd als een oordeel over alles wat je organisatie online gebruikt.

• Welke software draait daar werkelijk? Vraag de beheerder of PHP wordt gebruikt en welke versie of leverancierspatch actief is. Een CMS-versienummer alleen beantwoordt die vraag niet. Laat ook duidelijk maken op welke omgeving de controle betrekking heeft: de live omgeving, een testomgeving of allebei.

• Wat is bevestigd en wat staat nog open? Leg per toepassing vast of de melding van toepassing is, waarop dat oordeel berust en welke actie volgt. Vraag om een concrete bevestiging van de beheerpartij. Ons advies: gebruik ‘nog niet gecontroleerd’ zolang de informatie ontbreekt, zodat onzekerheid zichtbaar blijft.

Het risico zit ook in een te ruim antwoord

Stel dat je hoofdwebsite op Umbraco draait, terwijl een eerdere campagne een aparte website bij een andere leverancier heeft. De bevestiging dat Umbraco geen PHP gebruikt, beoordeelt die campagnesite niet. Dit is een illustratief voorbeeld: dezelfde huisstijl of bedrijfsnaam vertelt je niets over de onderliggende techniek.

Onduidelijkheid wordt merkbaar als verschillende leveranciers naar elkaar verwijzen of niemand kan aangeven welke toepassingen zijn nagekeken. Dan kan noodzakelijke actie blijven liggen, terwijl marketing en klantenservice al vragen krijgen. Spreek daarom af over welke systemen een terugkoppeling gaat en welke nog onderzocht worden.

Welke vervolgstap past bij jouw situatie?

Er is een kwetsbare PHP-installatie gevonden

Laat de verantwoordelijke beheerder direct de passende beveiligingsupdate toepassen. Het NCSC adviseert om kwetsbare systemen tot die tijd uit voorzorg offline te houden. Stem de gevolgen voor bezoekers, formulieren en lopende campagnes af; tijdelijke beperkingen vervangen de update niet.

De techniek van een losse toepassing is onbekend

Vraag eerst de betreffende leverancier om een beoordeling van die specifieke toepassing. Stuur het webadres en de officiële melding mee, zodat de vraag concreet is. Laat een onduidelijk antwoord opvolgen en leg vast wanneer je bevestiging krijgt.

Je overweegt door dit nieuws een ander CMS

Een nieuwsbericht alleen is geen goede basis voor een compleet nieuw platform. Beoordeel een overstap op structurele behoeften, beheer en ondersteuning; lees daarvoor wanneer Umbraco een logische keuze is. Los een actuele kwetsbaarheid ondertussen op in de omgeving waar die daadwerkelijk speelt.

Wil je duidelijkheid over de techniek en het beheer van je website? Bespreek met Hosting & Support van VrijdagOnline welke omgeving je wilt laten beoordelen en welke bevestiging je nodig hebt.