Nu patchen, later uzelf bedanken: Uw e-commerce weekoverzicht (15–23 oktober 2026)

Welkom bij ons wekelijkse e-commerce nieuwsoverzicht. Deze week, 15 tot en met 23 oktober 2026, was ongebruikelijk intens: twee kritieke beveiligingslekken volgden elkaar binnen vierentwintig uur op, één voor PHP en één voor Node.js. Ondertussen zette Google zijn Universal Cart aan in de VS, stemde het Europees Parlement voor verlichting van de afvalregelgeving voor kleine bedrijven, en bevestigden nieuwe cijfers dat de Europese e-commerce blijft groeien. Dit is er veranderd, en dit betekent het voor uw webshop.

PHP2Shell: het lek dat (bijna) elke PHP-shop onder druk zette

Op 21 oktober patchet het PHP-project twee kritieke kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619, al snel PHP2Shell gedoopt) waarmee een aanvaller zonder inlog code kan uitvoeren op uw server. Beide scoren 9,2 op een schaal van 10, en de foutieve code zit al sinds 2012 in PHP (versie 5.4).

Omdat het lek in PHP zelf zit, niet in de code van uw shop, is zelfs een perfect onderhouden site kwetsbaar. Onderzoekers toonden aanvallen aan op Magento, WooCommerce (WordPress), Drupal, Joomla, Laravel en Symfony; platforms als PrestaShop, Sylius of OpenCart zitten in hetzelfde schuitje. Eén van de twee lekken kan ook servergeheugen blootleggen (denk aan wachtwoorden, sessietokens of API-sleutels) via een eenvoudige cookie.

Het goede nieuws: massale exploitatie lijkt minder waarschijnlijk dan aanvankelijk gevreesd, omdat aanvallen zeer specifieke serveromstandigheden vereisen. Het slechte nieuws: er werden pogingen waargenomen enkele uren voordat de patch überhaupt openbaar werd, en CISA dringt aan op onmiddellijk patchen.

Wat u moet doen: update PHP overal (de gepatchte versies zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12) en herstart uw PHP-workers, want zonder herstart doet de update niets. Draait uw shop nog op PHP 8.1 of ouder, dan is er geen officiële fix; gepatchte pakketten bestaan via de meeste Linux-distributies, maar beschouw dit als de laatste waarschuwing om een upgrade te plannen. Er bestaat een tijdelijke workaround: het blokkeren van upload-verzoeken (multipart/form-data) op webserverniveau met vier regels nginx-configuratie. Maar die breekt legitieme uploads zoals productafbeeldingen en sommige checkoutformulieren: het is een veiligheidsgordel, geen geneesmiddel.

Node2Shell: Node.js kreeg in dezelfde week zijn eigen schrik

Zelfde dag, zelfde verhaal, andere runtime. Node.js patchet CVE-2026-111497, een lek in Brotli, de compressiebibliotheek die in Node is ingebouwd, en onderzoekers van Imperva toonden vervolgens aan dat ze het konden omzetten in remote code execution op een officiële Node.js-image. Zij noemen het Node2Shell.

Draait uw stack op Node.js (dat geldt voor Medusa- of Vendure-backends en de meeste moderne JavaScript-storefronts), controleer dan uw versie: de gepatchte releases zijn 22.23.4, 24.22.1 en 26.12.1. Twee belangrijke nuances: Node.js 20 en ouder krijgen de fix nooit (die zijn end-of-life, plan dus een migratie), en de kwetsbare code wordt vaak bereikt via middleware die u niet zelf schreef: de body parsers van Express 5 decoderen Brotli automatisch. Vergeet ook niet uw Docker-images opnieuw te bouwen: een versienummer aanpassen in een configbestand patcht geen binary die al in een container zit.

Er zijn tot nu toe geen echte aanvallen gemeld, en Imperva had meerdere pogingen nodig op een specifieke configuratie, maar er bestaat geen workaround binnen Node.js zelf. Updaten is de enige oplossing.

Google lanceert zijn Universal Cart: eerst de VS, Europa later

Op 15 oktober zette Google zijn Universal Cart aan in de VS, in Search en de Gemini-app. Shoppers kunnen producten van meerdere retailers bewaren in één persistent winkelwagentje, meldingen krijgen bij prijsdalingen of als een artikel weer op voorraad is, promocodes en betaalvoorstellen zien, en afrekenen met Google Pay, met merchants als Nike, Sephora, Target, Walmart en vele Shopify-winkels al aan boord. Cruciaal: de merchant blijft seller of record: de bestelling, de bevestiging en de klantrelatie blijven van u.

Onder de motorkap zit het Universal Commerce Protocol (UCP), een open standaard die Google in januari presenteerde met onder meer Shopify, Walmart en Target, bedoeld zodat elke AI-agent, niet alleen die van Google, producten kan ontdekken en aankopen kan afronden via één gemeenschappelijke taal.

U hoort misschien ook over WebMCP, en de twee zijn makkelijk te verwarren. Kort samengevat: WebMCP laat een AI-agent uw website bedienen namens de gebruiker (door te navigeren in diens browser), terwijl UCP agenten rechtstreeks commerce laat praten met uw backoffice (catalogus, winkelwagen, checkout). Ze vullen elkaar aan in plaats van te concurreren; Shopify bijvoorbeeld ondersteunt beide.

Wat betekent dit voor u: vandaag is er in Europa niets te implementeren: de checkout-functie is beperkt tot in aanmerking komende Amerikaanse merchants, met wereldwijde uitbreiding "in de komende maanden" beloofd. Maar de richting is duidelijk: de kwaliteit van uw productdata in Google Merchant Center bepaalt binnenkort of AI-agenten uw producten überhaupt kunnen verkopen. Schone feeds en volledige attributen: dat is huiswerk om nu mee te beginnen.

Brussel wil afvalregels vereenvoudigen voor kleine bedrijven

Even opfrissen: onder de uitgebreide producentenverantwoordelijkheid (EPR) betaalt iedereen die producten in de EU verkoopt heffingen om recycling te financieren, en moet in élke lidstaat waar hij verkoopt een gemachtigde vertegenwoordiger aanstellen. Voor een klein Frans merk dat naar tien landen verzendt, betekent dat tien vertegenwoordigers om voor te betalen.

Op 20 oktober steunde het Europees Parlement met overweldigende meerderheid (616 stemmen voor, 9 tegen) de schorsing van die vertegenwoordigingsplicht voor in de EU gevestigde micro- en kleine ondernemingen (minder dan 50 werknemers, minder dan €10 miljoen omzet) in sectoren als verpakkingen, batterijen, textiel, schoeisel en elektronica. De schorsing zou gelden tot 2035. De EPR-heffingen en recyclingverplichtingen zelf veranderen niet; het gaat puur om het wegsnijden van overbodige administratieve lasten.

Eén kanttekening: dit is de positie van het Parlement, nog niet de definitieve wet; de onderhandelingen met de lidstaten moeten nog worden afgerond. Maar voor kleine grensoverschrijdende verkopers is het een oprecht bemoedigend signaal uit Brussel.

Europese e-commerce: 911 miljard euro, en cross-border is de groeimotor

Tot slot, wat perspectief. Het European E-commerce Report 2026 (Ecommerce Europe / EuroCommerce) waardeert de Europese B2C-e-commerce op 911 miljard euro in 2025, een stijging van 7% op jaarbasis, met een prognose van circa 5% groei voor 2026 (~961 miljard euro). Drie kwart van de Europeanen shopt nu online.

Waar zit de dynamiek? In cross-border. De 100 grootste marketplaces in Europa zullen naar verwachting 175,8 miljard euro aan GMV genereren, 79,5% daarvan uit grensoverschrijdende verkopen. Binnen de EU zijn de vijf grootste markten Frankrijk (€112 mrd), Duitsland (€94 mrd), Spanje (€68 mrd), Italië (€59 mrd) en Polen (~€43 mrd), met Zuid- en Oost-Europa als snelste groeiers.

De les voor merchants: uw volgende klanten wonen steeds vaker in een ander EU-land. Grensoverschrijdend verkopen wordt structureel eenvoudiger (zie het EPR-verhaal hierboven): wie zijn internationale setup vroeg voorbereidt, lift mee op deze groei in plaats van ernaar te kijken.

Veelgestelde vragen

Wat we volgende week in de gaten houden

• Patchstatus: of de exploitatiepogingen van PHP2Shell opschalen ondanks de lastige voorwaarden; blijf ook na het updaten monitoren.
• Migraties vanaf Node.js 20: hostingproviders en platforms zullen de keuze steeds vaker forceren; beter om zelf het moment te kiezen.
• Google UCP: elk signaal van een Europese uitrol van Universal Cart of UCP-checkout.
• EPR-vereenvoudiging: het dossier gaat nu naar onderhandelingen tussen het Parlement en de lidstaten; de uiteindelijke reikwijdte kan nog verschuiven.

Tot volgende week. En als het patchen van PHP en Node.js over uw hele stack als veel voelt: dat is precies het soort week waarvoor wij er zijn.