mod_php is een oudere manier waarop een server de PHP-code van je website uitvoert, als onderdeel van de software die je site aflevert. Je ziet de term vooral in hostinginstellingen. Je hostingpartijWebhosting is de dienst die jouw website op een computer zet die altijd aan staat en met internet verbonden is, zodat bezoekers hem kunnen openen. kan je vertellen of jouw site ermee werkt.
Wat is mod_php?
mod_php is een van de oudste manieren om PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. op het web te draaien, en je vindt het nog op veel servers.
Is Apache ingesteld met mod_php, dan zit de PHP-interpreter in de webserver geladen. Een verzoek om een PHP-pagina wordt afgehandeld in hetzelfde proces dat ook bestanden uitlevert, zonder overdracht aan een andere dienst. Dat is eenvoudig in te richten, en daarom was het lang de standaard op veel hostingplatforms.
Het alternatief is PHP-FPMPHP-FPM is een programma op de server dat de PHP-code van je website uitvoert en de afgemaakte pagina doorgeeft, zodat bezoekers hem zien., waarbij PHP een aparte dienst is en de webserverEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt. verzoeken ernaar doorstuurt. Bij mod_php delen PHP en de webserver één proces en één set rechten. Dat maakt het lastiger om sites op één server van elkaar te scheiden en om elke site eigen limieten te geven.
Waarom dit voor beveiliging telt
Doordat PHP in de webserver zit, is een probleem in PHP ook een probleem in het webserverproces. Dat is geen fout van mod_php zelf, maar het bepaalt wel hoe ernstig een PHP-kwetsbaarheid kan zijn op deze opzet.
mod_php en de kwetsbaarheden van oktober 2026
Op 21 oktober 2026 bracht het PHP-project PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit voor twee kritieke kwetsbaarheden. Volgens php.net kan een aanvaller er zonder inloggen code mee op de server uitvoeren, een RCERemote code execution (RCE) betekent dat een aanvaller van buitenaf eigen opdrachten op jouw server kan uitvoeren, alsof hij er zelf achter zit. dus. php.net noemt alle PHP-installaties die webverzoeken afhandelen als risico en vindt het risico het grootst bij mod_php. Het noemt een gedemonstreerde exploitEen exploit is een stukje code of een werkwijze waarmee iemand een zwakke plek in software echt kan uitbuiten., een bewijs dat de aanval werkt, waarbij een verzoek zonder inloggen de aanval start voordat er applicatiecode draait.
php.net en CISA melden geen misbruik in de praktijk. De actuele feiten, met tijdstippen, staan op de pagina PHP2Shell.
Zo controleer je je handler
Open een phpinfo-pagina en kijk bij “Server API”. “Apache 2.0 Handler” betekent mod_php. “FPM/FastCGI” betekent PHP-FPM. Ook je hostingpaneelEen hostingpaneel, zoals cPanel of Plesk, is de beheerpagina van je hosting, waar je domeinen, e-mail en PHP-versie instelt. toont dit vaak bij de PHP-instellingen. Kun je het niet vinden, vraag het dan je host.
Controleer daarna de exacte PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3., inclusief patchnummer. De opzet verandert hoe het risico eruitziet, maar de oplossing blijft dezelfde: een gepatchte versie. Noteer handler en versie voordat je contact opneemt met je host, zodat het gesprek met feiten begint en niet met gissingen. Vraag ook of ze na de update schriftelijk bevestigen welke versie voor jouw domeinEen domeinnaam is het webadres waarmee bezoekers jouw website vinden, zoals bedrijfsnaam.nl. actief is.
Wanneer je actie onderneemt
Draai je mod_php en heeft jouw tak een gerepareerde release, update dan nu en vraag je host wanneer hij die uitrolt. Draait je host een oudere tak, vraag dan wat hij kan bieden. Onze hulp bij php updaten brengt je site naar een ondersteunde versie. Kan je host niet helpen, dan verhuist onze hulp bij website migreren de site naar een host die dat wel kan.
Veelgestelde vragen
Wat is het verschil tussen mod_php en PHP-FPM?
mod_php draait PHP binnen het Apache-proces zelf. PHP-FPM draait PHP als aparte dienst en de webserver geeft verzoeken aan die dienst door.
Gebruik ik mod_php?
Je hostingpaneel of een phpinfo-pagina laat het zien. Staat onder Server API de waarde Apache 2.0 Handler, dan draait PHP als Apache-module. Staat er FPM/FastCGI, dan niet.
Wordt mod_php geraakt door de PHP-lekken van oktober 2026?
php.net noemt Apache met mod_php bij de installaties die risico lopen en vindt het risico het grootst bij mod_php. Het noemt ook een gedemonstreerde exploit, een bewijs dat de aanval werkt. php.net en CISA melden geen misbruik in de praktijk.
Moet ik van mod_php naar PHP-FPM overstappen?
Dat is een hostingkeuze. De eerste stap is PHP bijwerken naar een gerepareerde versie. Of je daarna van handler wisselt, hangt af van je server en je verkeer.