Ernstig beveiligingslek in PHP: wat dit betekent voor jouw website

Er is een ernstig beveiligingslek ontdekt in PHP. Dat is de programmeertaal waarin het overgrote deel van alle websites draait, waaronder de websites die wij voor onze klanten bouwen en hosten. Omdat het lek in PHP zelf zit, raakt het wereldwijd vrijwel alle websites die op PHP draaien, ongeacht hoe goed de website zelf beveiligd is.

Wat zegt het NCSC?

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor het lek. In zijn advies schrijft het NCSC:

“Er zijn twee kritieke kwetsbaarheden gevonden, CVE-2026-109618 en CVE-2026-109619, in PHP: Hypertext Preprocessor. Deze kwetsbaarheden zijn vermoedelijk aanwezig in alle huidige versies van PHP, maar in ieder geval vanaf versie 5. Deze kwetsbaarheden maken het mogelijk voor kwaadwillenden om op afstand een remote code execution (RCE) uit te voeren.”

Volgens het NCSC kunnen aanvallers daarmee servers overnemen, gegevens buitmaken of websites onbruikbaar maken. Er is al voorbeeldcode van een aanval openbaar. Het NCSC heeft nog geen actief misbruik gesignaleerd, maar adviseert nadrukkelijk om voorbereidingen te treffen voor de update die vandaag om 16:00 uur verschijnt.

Wat hebben wij al gedaan?

Er is vooraf informatie over het lek uitgelekt. Daardoor hebben we gericht maatregelen kunnen nemen: een onderdeel van PHP dat waarschijnlijk betrokken is, hebben we op al onze servers uitgeschakeld. Op je website merk je daar niets van.

Op onze servers zien we op dit moment geen verdachte activiteit. We houden de situatie en onze systemen nauwlettend in de gaten.

Ons stappenplan

Als de situatie verandert, nemen we de volgende maatregelen, van weinig naar veel hinder:

1. Blokkeren van uploads. Je website blijft gewoon bereikbaar, maar het uploaden van bestanden werkt tijdelijk niet. Denk aan afbeeldingen toevoegen in de beheeromgeving of formulieren waarmee bezoekers een bijlage meesturen.
2. Alleen bereikbaar vanuit Nederland. Bezoekers uit het buitenland krijgen tijdelijk een melding dat de website in onderhoud is. Ook koppelingen met buitenlandse diensten, zoals sommige betaalproviders, kunnen dan tijdelijk niet werken.
3. Tijdelijk offline. Je website is niet bereikbaar totdat de update is geplaatst.

Vanaf 16:00 uur: websites tijdelijk offline

Om 16:00 uur verschijnt de update van PHP. Op dat moment kunnen aanvallers precies zien waar het lek zat, en beveiligingsexperts verwachten dat het lek binnen enkele minuten daarna op grote schaal misbruikt wordt. Daarom halen we vanaf dat moment alle websites tijdelijk offline, totdat de update op onze servers is geplaatst. Daarmee zijn we niet de enige: ook veel andere organisaties halen hun websites uit voorzorg tijdelijk uit de lucht.

Hoe lang dat duurt, kunnen we nu nog niet precies zeggen. Na de release van PHP moet onze serversoftware de update eerst nog verwerken voordat wij hem kunnen installeren. Reken op enkele uren. We doen er alles aan om dit zo kort mogelijk te houden.

Liever nu al offline?

Wil je niet afwachten en heb je je website liever nu al uit voorzorg offline? Dat begrijpen we goed, zeker als je via je website persoonsgegevens verwerkt of een webshop hebt. Laat het ons weten, dan zetten we je website zo snel mogelijk uit de lucht. Na het plaatsen van de update zetten we hem weer online.

Meer informatie

Voor actuele, geverifieerde informatie:

• CERT-EU beveiligingsadvies 2026-018 (het Europese cybersecuritycentrum)
• php.net (de officiële website van PHP)

Update 16:45

De patch was gelukkig snel beschikbaar. We hebben deze geplaatst en getest. Alles is weer veilig en online.