Waarom een Astro-website geen last heeft van het PHP-lek

In oktober 2026 kwamen twee kritieke lekken in PHP aan het licht, bekend als php2shell. Een aanvaller kon daarmee zonder inloggen code uitvoeren op een webserver. Een website die gebouwd is met Astro en als statische site wordt gehost, heeft daar geen last van, want op die site draait helemaal geen PHP.

Wat is er precies gebeurd?

Het gaat om de lekken CVE-2026-109618 en CVE-2026-109619, met een ernstscore van 9,2 op 10. De details lekten voortijdig uit en al snel werden de lekken ook echt misbruikt, meldt de Amerikaanse cyberdienst CISA. In Nederland schreef Computable dat miljoenen websites onder druk stonden.

PHP is de techniek achter een groot deel van het web, ook achter WordPress. Een update van je website of plugins was niet genoeg: de server zelf moest worden bijgewerkt. Als ondernemer ben je dan afhankelijk van je hostingpartij.

Waarom raakt dit een Astro-website niet?

Een klassieke website stelt elke pagina pas samen op het moment dat iemand hem opvraagt. Daarvoor draaien er software en een database op de server. Dat is precies waar een aanvaller naar op zoek is.

Een Astro-website werkt anders. Alle pagina’s worden vooraf gebouwd en daarna als kant-en-klare bestanden klaargezet. Op de plek waar bezoekers binnenkomen:

• draait geen PHP, dus een PHP-lek heeft niets om te misbruiken
• staat geen database met gegevens die kunnen uitlekken
• zijn er geen plugins die verouderd kunnen raken
• is geen inlogpagina die aanvallers kunnen proberen te kraken

Blijft je website dan ook bereikbaar?

Dat is misschien wel het grootste voordeel. Een gehackte website gaat vaak offline, wordt doorgestuurd naar andere sites of krijgt een waarschuwing in Google. Dat kost je aanvragen en vertrouwen, nog los van de herstelkosten.

Een statische website wordt verspreid over een wereldwijd netwerk van servers. Er is geen server waarop software kan vastlopen of worden overgenomen, en het netwerk vangt grote pieken in bezoek goed op. Je hoeft je dus niet af te vragen of je website morgen nog werkt omdat er ergens een nieuw lek is gevonden.

Is een Astro-website dan honderd procent veilig?

Nee, dat kan niemand beloven. De grootste risico’s verschuiven alleen: naar je accounts en je domeinnaam. Sterke wachtwoorden en tweestapsverificatie blijven dus belangrijk. Maar aanvallen die misbruik maken van software op de webserver, zoals dit PHP-lek, hebben hier geen ingang.

Wat betekent overstappen voor jou?

Overstappen is minder groot dan veel ondernemers denken:

• Je houdt je eigen domeinnaam en e-mail
• Je teksten en vindbaarheid gaan mee, en oude adressen sturen we netjes door
• De site wordt sneller, wat ook goed is voor Google en AI-zoekmachines
• Je hebt geen omkijken meer naar updates

Wil je zelf berichten blijven plaatsen in WordPress? Dat kan ook. Met een headless opbouw beheer je je content in WordPress, terwijl bezoekers alleen de snelle, statische website zien. Blijf je liever op je huidige site, dan houden wij die veilig en up-to-date.

Benieuwd wat voor jou de beste route is? Bekijk de pakketten of neem contact op. We kijken eerst vrijblijvend hoe je site er nu voor staat.