Kritieke PHP-lekken: waarom websites wereldwijd risico lopen
The Strategic Newb Editorial Team
Bijgewerkt op:
Bijgewerkt op 21 oktober 2026. Dit artikel beschrijft de situatie volgens de hieronder genoemde bronnen op die datum.
Een website kan tijdelijk verdwijnen terwijl de beheerder juist probeert een cyberaanval te voorkomen. Dat gebeurt nu na de ontdekking van twee kritieke beveiligingslekken in PHP. De software wordt gebruikt door websites en online toepassingen in verschillende landen. Daardoor heeft het probleem een internationaal bereik.
De beveiligingsupdates zijn inmiddels beschikbaar. De belangrijkste vraag voor websitebeheerders is daarom of hun hostingprovider of technische team de oplossing daadwerkelijk heeft toegepast. PHP-project
Wat is er aan de hand met PHP?
PHP is software waarmee servers websitecode uitvoeren. Bezoekers zien doorgaans alleen het resultaat: een pagina, formulier of online winkel. Achter die zichtbare onderdelen kan dezelfde onderliggende technologie draaien.
De kwetsbaarheden staan geregistreerd als CVE-2026-109618 en CVE-2026-109619. Beide hebben een ernstscore van 9,2 op 10. Volgens CERT-EU kunnen ze aanvallers onder bepaalde omstandigheden code laten uitvoeren zonder eerst in te loggen. Dit heet remote code execution. CERT-EU
Dat maakt de beveiliging van de server belangrijk, ook wanneer de website zelf goed wordt onderhouden.
Is het PHP-probleem wereldwijd?
Ja, het technische risico is wereldwijd. Het hangt samen met gebruikte software en configuraties, niet met landsgrenzen. Een kwetsbare installatie kan bij een klein bedrijf staan, bij een internationale organisatie of op een gedeeld hostingplatform.
Ook de waarschuwingen zijn internationaal. CERT-EU publiceerde een beveiligingsadvies voor organisaties. Het Australian Cyber Security Centre plaatste eveneens een kritieke waarschuwing over PHP. Dat onderstreept dat dit geen uitsluitend Nederlands incident is. CERT-EUAustralian Cyber Security Centre
Wereldwijd risico betekent echter niet dat in ieder land dezelfde verstoring optreedt. Evenmin betekent het dat alle websites met PHP zijn gehackt. De feitelijke gevolgen hangen onder meer af van de kwetsbaarheid van een installatie en de genomen maatregelen.
Waarom halen organisaties websites zelf offline?
Een tijdelijk onbereikbare website kan het gevolg zijn van een voorzorgsmaatregel. CERT-EU adviseert onmiddellijk bij te werken. Wanneer dat niet mogelijk is, moeten organisaties overwegen om toepassingen die vanaf internet bereikbaar zijn tijdelijk van publieke netwerken te isoleren. CERT-EU
Een concreet voorbeeld komt uit Nederland. Het Nationaal Cyber Security Centrum meldde dat het zijn eigen website vanwege de PHP-kwetsbaarheden uit voorzorg offline had gehaald. Die melding bevestigt een beschermende maatregel, geen geslaagde inbraak. NCSC Nederland
Voor gebruikers kan het verschil onzichtbaar zijn: zij zien een foutmelding of onderhoudspagina. Voor de beoordeling van het incident is het verschil essentieel.
Zijn aanvallers al actief?
CERT-EU meldt dat technische details openbaar worden besproken en dat eerste demonstraties van misbruik circuleren. Daardoor neemt de kans op daadwerkelijke uitbuiting toe. Dit bevestigt de urgentie, maar levert geen wereldwijd totaal van gehackte websites op. CERT-EU
Drie situaties moeten daarom uit elkaar worden gehouden:
| Situatie | Betekenis |
|---|---|
| Kwetsbaar | Een systeem bevat een beveiligingslek. |
| Uit voorzorg offline | De beheerder beperkt tijdelijk de bereikbaarheid. |
| Bevestigd gecompromitteerd | Onderzoek toont ongeautoriseerde toegang of misbruik aan. |
Een storingsmelding alleen bewijst geen datadiefstal.
Welke PHP-updates lossen het probleem op?
Het PHP-project publiceerde op 21 oktober 2026 deze beveiligingsreleases: PHP-project
| PHP-reeks | Release met de beveiligingsoplossingen |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Leveranciers van besturingssystemen kunnen de oplossingen ook in eigen pakketten verwerken. Laat daarom de leverancier of beheerder bevestigen welk pakket veilig is. PHP 8.1 en oudere versies krijgen geen reguliere updates meer van het PHP-project; ondersteuning door andere leveranciers kan verschillen. PHP-project
Wat betekent dit voor WordPress-websites?
WordPress gebruikt PHP. Alleen WordPress, een thema of een plug-in bijwerken vervangt de PHP-installatie op de server niet. Wordfence benadrukt daarom dat eigenaren moeten vaststellen wie verantwoordelijk is voor de PHP-update: de hostingprovider of hun eigen technische team. Wordfence
Vraag die partij om concrete bevestiging van de geïnstalleerde beveiligingsoplossing. Vraag bij een onderbreking ook wanneer de dienst gecontroleerd kan worden hervat.
Veelgestelde vragen over de PHP-lekken
Ligt het hele internet plat?
De geraadpleegde bronnen onderbouwen die claim niet. Er is een breed technisch risico, terwijl de gevolgen per dienst verschillen.
Is een offline website gehackt?
Dat volgt niet uit de onbereikbaarheid. Een beheerder kan een website bewust tijdelijk uitschakelen.
Is een WordPress-update voldoende?
De PHP-installatie moet afzonderlijk worden bijgewerkt door de partij die de server beheert. Wordfence
Zijn tijdelijke beschermingsmaatregelen genoeg?
Volgens het PHP-project biedt alleen bijwerken een volledige oplossing voor deze kwetsbaarheden. Tijdelijke maatregelen kunnen blootstelling aan specifieke aanvalsroutes verminderen. PHP-project
Bronnen
PHP-project — officiële beveiligingsmelding en releases van 21 oktober 2026
CERT-EU — Critical Vulnerabilities in PHP, advies 2026-018
Australian Cyber Security Centre — kritieke PHP-waarschuwing op de website, 21 oktober 2026
Wordfence — PSA: Upcoming Critical PHP Security Release
Verder lezen
Cyberincidenten bij supermarkten: digitale risico’s in de fysieke wereld