PHP lek zet overheidssites offline

Op 21 oktober 2026 zijn websites van Nederlandse overheidsdiensten uit voorzorg offline gehaald na een waarschuwing over twee ernstige lekken in PHP. De kwetsbaarheden kregen allebei een score van 9,2 op 10. De website van de Tweede Kamer, het Nationaal Cyber Security Centrum en het overheidsplatform NotuBiz werden tijdelijk onbereikbaar gemaakt. Dat betekent niet dat deze websites zijn gehackt, maar het laat zien hoeveel diensten afhankelijk zijn van dezelfde techniek.

Twee lekken kunnen een webserver op afstand openzetten

PHP is software waarmee websites informatie verwerken en pagina's opbouwen voordat ze in je browser verschijnen. Het draait achter bekende systemen zoals WordPress, Drupal, Joomla en Magento. Ook hostingbedrijven, overheidswebsites en andere online diensten kunnen PHP gebruiken zonder dat bezoekers dat merken.

CERT EU, de cybersecuritydienst voor instellingen van de Europese Unie, waarschuwde op 20 oktober voor twee kritieke kwetsbaarheden. Ze staan geregistreerd als CVE 2026 109618 en CVE 2026 109619. Volgens de waarschuwing kan een aanvaller mogelijk schadelijke code uitvoeren op een kwetsbare server zonder eerst in te loggen.

Wat betekent dat? Een server is een computer die een website of online dienst beschikbaar maakt. Bij uitvoering van code op afstand kan een aanvaller de server opdrachten laten uitvoeren via een netwerkverbinding. Wat die aanvaller vervolgens kan doen, hangt af van de kwetsbaarheid en de beveiliging van het systeem.

De officiële PHP aankondiging noemt voor beide lekken een score van 9,2 op de schaal CVSS versie 4.0. Dat is een kritieke beoordeling. Op het moment van de eerste waarschuwing waren de technische details en de opgeloste versies nog niet openbaar. Daarom konden beheerders zich voorbereiden, maar nog niet overal de definitieve oplossing installeren.

De Tweede Kamer en andere Nederlandse diensten gingen uit voorzorg offline

De Nederlandse situatie maakt duidelijk dat dit niet alleen een theoretisch risico voor websitebouwers is. Volgens berichtgeving van ANP zijn de website van de Tweede Kamer, de website van het NCSC en delen van het gezamenlijke netwerk SURF uit voorzorg uitgeschakeld. Ook NotuBiz, een platform waarmee meer dan honderd lagere overheden officiële berichten publiceren, werd tijdelijk offline gehaald.

Gemeenten, provincies en waterschappen gebruiken NotuBiz om informatie te delen met volksvertegenwoordigers en het publiek. Als zo'n platform niet bereikbaar is, kunnen bezoekers officiële berichten tijdelijk niet via die route lezen. Dat is een gevolg van de voorzorgsmaatregel, niet automatisch van een succesvolle aanval.

Ook andere organisaties beoordelen hun risico. De Britse National Cyber Security Centre adviseerde organisaties om systemen met PHP te inventariseren, internetverkeer te controleren en de beveiligingsupdate te installeren zodra die beschikbaar is. De Australische cybersecuritydienst gaf eveneens een kritieke waarschuwing af.

Er is geen bevestiging dat alle genoemde diensten zijn gehackt. De Australische autoriteit meldde bij haar waarschuwing dat zij op dat moment geen actieve uitbuiting van deze specifieke kwetsbaarheden kende. De Nederlandse diensten die offline gingen, deden dat volgens de berichtgeving uit voorzorg.

WordPress, webshops en hostingbedrijven moeten hun PHP versie controleren

De kwetsbaarheden zitten in PHP zelf. Daardoor kan een website kwetsbaar zijn terwijl WordPress of een webshopprogramma zelf volledig is bijgewerkt. Een update van de website werkt de PHP software op de server namelijk niet altijd bij.

De waarschuwing kan relevant zijn voor verschillende soorten diensten:

• WordPress websites en blogs.
• Drupal en Joomla websites van bedrijven en instellingen.
• Webshops die Magento of andere PHP software gebruiken.
• Hostingomgevingen, controlepanelen en software waarin PHP is ingebouwd.
• Websites van overheden en onderwijsinstellingen die PHP gebruiken.

CERT EU meldt dat mogelijk alle PHP versies vanaf versie 5 geraakt zijn. Dat is een brede indicatie, geen definitieve lijst met getroffen versies. De officiële PHP documentatie moet uitsluitsel geven over de precieze versies zodra de beveiligingsrelease beschikbaar is.

Een kwetsbare PHP installatie betekent ook niet dat iedere website die PHP gebruikt automatisch kwetsbaar is. De configuratie en de exacte softwareversie zijn bepalend. Toch is het verstandig om niet alleen de eigen website te bekijken, maar ook de hostingprovider te vragen welke onderdelen op de server draaien.

Een uitgeschakelde website voorkomt soms meer schade dan hij veroorzaakt

Een website tijdelijk offline halen is vervelend. Bezoekers kunnen geen informatie vinden en sommige diensten werken niet. Voor een gemeente kan dat betekenen dat een publicatie tijdelijk niet beschikbaar is. Voor een bedrijf kan het betekenen dat klanten de website niet kunnen gebruiken.

Rekenvoorbeeld: Stel dat een webwinkel normaal 80 bestellingen per dag verwerkt en gemiddeld € 25 omzet per bestelling behaalt. Een volledige dag zonder bestelmogelijkheid staat dan voor € 2.000 aan mogelijke omzet die niet via de website binnenkomt. Dit is een rekenvoorbeeld, geen vastgesteld verlies bij een bestaande winkel; gemiste omzet is bovendien niet hetzelfde als gemiste winst.

Daar staat tegenover dat een aanval op een kwetsbare server grotere gevolgen kan hebben. Een aanvaller kan afhankelijk van de omstandigheden gegevens bekijken, bestanden aanpassen of de server gebruiken voor verdere aanvallen. Ook herstelwerk, onderzoek en het informeren van klanten kunnen geld kosten.

De keuze om een website uit te schakelen hangt daarom af van het risico en de beschikbare maatregelen. Als de beheerder de kwetsbaarheid nog niet kan verhelpen, kan het beperken van toegang een verstandige tijdelijke veiligheidsmaatregel zijn. Dat is de lijn die CERT EU en het Britse NCSC in hun waarschuwingen beschrijven.

Je hoeft niet iedere website te wantrouwen, maar controleer je eigen diensten

Als gewone internetgebruiker hoef je niet aan te nemen dat iedere website die je bezoekt gevaarlijk is. Een website die uit voorzorg offline staat, is niet per definitie gehackt. Voor bezoekers is het vooral nuttig om te begrijpen dat de kwetsbaarheid bij de server kan liggen en niet bij de telefoon of computer waarmee je de website bekijkt.

Gebruik voor belangrijke diensten de officiële website of app en let op berichten van de organisatie zelf. Krijg je een onverwachte e mail die beweert dat je account vanwege dit lek opnieuw moet worden beveiligd, open dan niet zomaar de meegestuurde link. Ga zelf naar de bekende website van de organisatie.

Beheer je een website, dan ligt de verantwoordelijkheid ergens anders. Je moet weten welke PHP versie actief is en wie die beheert. Automatische updates van WordPress of een webshop lossen dit probleem niet noodzakelijk op.

Let op: Installeer geen onbekende patch die je via een e mail of forum krijgt. Wacht op de beveiligingsupdate van PHP of op een update van je hostingprovider of softwareleverancier. Controleer na de installatie of de server daadwerkelijk de bijgewerkte versie gebruikt.

Dit kun je vandaag controleren

De officiële PHP aankondiging plande de release op 21 oktober 2026 om 14.00 UTC, gelijk aan 16.00 uur in Nederland en België. De aangekondigde tijd kan wijzigen als nieuwe technische informatie of aanwijzingen voor misbruik eerder openbaar worden. Controleer daarom de actuele melding van PHP en niet alleen een nieuwsbericht dat eerder op de dag is gepubliceerd.

Als je een website beheert, zijn dit de belangrijkste vragen:

• Welke PHP versie draait op mijn website en server?
• Wie installeert de PHP beveiligingsupdate?
• Worden ook aanvullende diensten en software met ingebouwde PHP gecontroleerd?
• Wat is het tijdelijke plan als de update niet meteen beschikbaar is?
• Zijn er afwijkende verzoeken, bestanden of processen die nader onderzoek vragen?

Als je alleen een website bezoekt, hoef je geen softwarepatch op je eigen toestel te installeren vanwege deze serverkwetsbaarheid. Houd je apparaten wel bijgewerkt en wees alert op berichten die misbruik maken van het nieuws.

Bronnen

• PHP, Upcoming Critical PHP Security Release, 20 oktober 2026
• CERT EU, Critical Vulnerabilities in PHP, 20 oktober 2026
• National Cyber Security Centre, Critical security issue affecting PHP, 21 oktober 2026
• Australian Cyber Security Centre, Critical vulnerabilities in PHP, 21 oktober 2026
• ANP via RD, Allerlei websites offline om waarschuwing PHP, 21 oktober 2026 /)

Dit artikel is bedoeld als uitleg en is geen advies.