PHP-beveiligingsupdate van oktober 2026: waarom je geen nieuw versienummer ziet

Op 21 oktober 2026 zijn er twee beveiligingslekken in PHP opgelost, bekend als CVE-2026-109618 en CVE-2026-109619. Wij hebben de gepatchte PHP direct op onze servers gezet. Je hoeft er zelf niets voor te doen. Toch krijgen we de vraag waarom je site nog steeds PHP 8.4.26 laat zien, terwijl er al een PHP 8.4.27 bestaat. Dat is in orde. In dit artikel lees je waarom en hoe je zelf controleert dat je site de beveiligde versie gebruikt.

Waarom je geen nieuw versienummer ziet

De PHP waarop je site draait, komt van CloudLinux. Dat is de PHP die je in DirectAdmin per domein kiest. CloudLinux heeft de reparatie niet uitgebracht als een nieuwe versie 8.4.27. Ze hebben de reparatie in de bestaande versie 8.4.26 gezet en die opnieuw gebouwd. Het versienummer blijft daardoor hetzelfde.

Wat wel verandert, is het moment waarop PHP is gebouwd. Dat heet de Build Date en die kun je zelf opvragen. De oude, kwetsbare versie is begin oktober gebouwd. De gepatchte versie is op 21 oktober 2026 in de avond gebouwd.

Dat geldt voor alle PHP-versies die je bij ons kunt kiezen, van 5.6 tot en met 8.5. Ook daar blijft het versienummer gelijk en zie je het verschil alleen aan de Build Date.

Zo controleer je het zelf

1. Open Bestandsbeheer in DirectAdmin en ga naar de map public_html van je domein.
2. Maak een nieuw bestand aan met de naam info.php.
3. Zet deze ene regel in het bestand en sla het op:

   <?php phpinfo();

4. Open https://jouwdomeinnaam.nl/info.php in je browser.
5. Zoek bovenaan in de tabel de regels PHP Version en Build Date.
6. Verwijder info.php daarna weer. Dit bestand laat veel technische gegevens over je hostingpakket zien en die horen niet openbaar te staan.

Wat de Build Date je vertelt

Staat er 21 oktober 2026 met een tijd in de avond, of een latere datum, dan draait je site op de gepatchte PHP. Voor PHP 8.4 ziet dat er zo uit:

PHP Version    8.4.26
Build Date     Oct 21 2026 22:10:01

De tijd in phpinfo is in UTC, dat is twee uur eerder dan de Nederlandse tijd. 22:10 UTC op 21 oktober is dus 00:10 op 22 oktober in Nederland. Twijfel je over de datum, kijk dan in dit overzicht. Het versienummer hoort hetzelfde te blijven, de Build Date hoort op of rond deze tijd te liggen:

Zie je een oudere datum?

Staat er een datum van begin oktober of nog eerder, dan draait je site nog op een oude versie. Neem dan contact met ons op en noem je domeinnaam, de PHP Version en de Build Date die je ziet. Dan zoeken wij uit waar dat aan ligt.

Zie je wél 8.4.27?

Een klein aantal sites draait niet op de PHP van CloudLinux, maar op de PHP die DirectAdmin zelf meelevert. Daar is de reparatie wel als nieuwe versie uitgebracht. Zie je in phpinfo PHP Version 8.4.27, dan heb je de reparatie dus ook. Welke PHP je gebruikt, zie je in phpinfo aan de regel Loaded Configuration File. Begint die met /opt/alt/, dan is het de PHP van CloudLinux.

Dit artikel is tijdelijk

Naar verwachting brengt CloudLinux de reparatie binnenkort ook uit als een nieuwe versie. Zodra wij die hebben geïnstalleerd, zie je in phpinfo gewoon een hoger versienummer, zoals 8.4.27. Dan heb je de Build Date niet meer nodig om te zien of je site de reparatie heeft en passen we dit artikel aan.