Na een ernstig lek in PHP hebben vandaag tal van Nederlandse organisaties hun website uit voorzorg offline gehaald. Daaronder zijn MijnOverheid, DigiD en de Tweede Kamer. PHP is de programmeertaal achter een groot deel van het web, ook achter elke WordPress-site. Een oplossing wordt vanmiddag om 16:00 uur verwacht.
Je leest hier wat er speelt, wat je vandaag doet en waarom bijhouden de beste bescherming is.
Wat is er aan de hand?
Op 20 oktober meldde PHP dat er twee kritieke lekken in de taal zitten. Kort daarna lekten de details uit. Via die lekken kan een aanvaller mogelijk een server op afstand overnemen. Dat is een van de ernstigste soorten kwetsbaarheden die er bestaan.
Veel organisaties namen het zekere voor het onzekere. Volgens NOS en ANP gingen onder meer MijnOverheid, DigiD, de Tweede Kamer en Tweakers uit voorzorg offline. Hetzelfde gold voor het Nationaal Cyber Security Centrum (NCSC) en de Autoriteit Persoonsgegevens. Ook Notubiz, het vergadersysteem van ongeveer honderd gemeenten, ging uit de lucht.
Een bevestigde hack bij een Nederlandse organisatie is er tot nu toe niet. Cloudflare ziet wel de eerste aanvalspogingen. Het NCSC noemt elk systeem met PHP dat vanaf internet bereikbaar is "vermoedelijk kwetsbaar", totdat het is bijgewerkt.
Wat moet je vandaag doen?
Draait je website op WordPress, Drupal, Joomla, Magento of WooCommerce, dan draait hij op PHP. Dit zijn de stappen:
- Vraag je bouwer of hostingpartij wat zij doen. Wie werkt PHP bij, en wanneer? Denk ook aan een klantportaal of webshop.
- Update zodra de patch er is. Volgens PHP-ontwikkelaar Gina Peter Banyard is dat de enige echte oplossing. Een WordPress-update helpt niet, want het lek zit in PHP zelf.
- Haal gevoelige systemen tijdelijk offline als bijwerken niet direct kan. Dat deden de Tweede Kamer en het NCSC ook.
- Let op phishing. Ethisch hacker Erik Jan Koedijk waarschuwt voor oplichters die zich voordoen als hostingpartij. Geef nooit inloggegevens door via een link in een mail.
Waarom een up-to-date website zo belangrijk is
Lekken komen voor in alle software. Dat is niet het probleem. Het probleem ontstaat als niemand de updates doorvoert.
Aanvallers zijn snel. Uit het jaarrapport van Patchstack blijkt dat bij zwaar aangevallen WordPress-lekken massaal misbruik in de helft van de gevallen binnen 5 uur begon. En bij 46% van de nieuwe lekken was er op het moment van bekendmaking nog geen oplossing. Een website die pas over een paar weken een update krijgt, loopt dus lang risico.
Toch lopen veel websites achter. Volgens W3Techs draait ruim een derde van de PHP-sites met een zichtbare versie nog op PHP 7 of ouder. Die versies krijgen al jaren geen beveiligingsupdates meer. En versie 8.2 stopt op 31 december 2026.
Achterstallig onderhoud kost je ook buiten beveiliging. Zo stond OK GAS ervoor: hun WordPress-site was vijf jaar oud en de plugins stapelden zich op. Pagina's werden trager, er gingen steeds meer dingen mis en campagnes presteerden minder.
Een website bijhouden betekent dus drie dingen:
- De techniek eronder bijwerken, zoals PHP of het framework
- Onderdelen van derden bijwerken of opruimen, zoals plugins
- Iemand verantwoordelijk maken, zodat updates niet blijven liggen
Het gaat niet om de taal, maar om de opbouw
PHP is geen slechte taal. Met een moderne PHP-versie, een goed onderhouden framework als Laravel en weinig plugins kan een site prima veilig zijn. Laravel geeft per versie twee jaar beveiligingsupdates.
Het risico zit vooral in hoe een site is opgebouwd. Hoeveel onderdelen en plugins van verschillende makers draaien er op de server, en wie houdt die bij? Hoe meer losse onderdelen, hoe meer plekken waar het mis kan gaan.
Welke technieken helpen daarbij?
Er zijn verschillende manieren om een website op te bouwen met minder bewegende delen. Elk heeft eigen voordelen:
- Statische sitegeneratoren, zoals Astro, Hugo en Eleventy. Deze tools zetten je pagina's vooraf om in kant-en-klare HTML-bestanden. Bij een bezoek draait er geen code op de server, dus er valt daar weinig aan te vallen. Astro levert pagina's standaard statisch en met zo min mogelijk JavaScript, wat ook de snelheid ten goede komt.
- Next.js. Een veelgebruikt framework op basis van React. Het combineert vooraf gemaakte pagina's met functies die op de server draaien, zoals formulieren of persoonlijke content. Next.js brengt sinds juli 2026 vaste beveiligingsupdates uit die vooraf worden aangekondigd.
- Django. Een framework in de taal Python, met ingebouwde bescherming tegen veelvoorkomende aanvallen zoals het injecteren van kwaadaardige code. Die bescherming werkt wel alleen als je hem goed gebruikt.
- Gehoste platforms, zoals Shopify. Je beheert geen eigen server of software. Shopify is gecertificeerd voor PCI DSS Level 1, de beveiligingsstandaard voor betaalgegevens. Voor apps en instellingen blijf je zelf verantwoordelijk.
Geen van deze technieken is onkwetsbaar. Ook in Next.js en React zijn het afgelopen jaar ernstige lekken gevonden. Het verschil zit in minder onderdelen, minder code van derden en duidelijke afspraken over wie de updates doorvoert.
Hoe bouwt schurq. websites?
Nieuwe websites bouwen wij op een headless architectuur. De voorkant, wat je bezoeker ziet, staat los van het systeem waarin je je content beheert. We bouwen de voorkant op maat met moderne frameworks zoals Next.js en Astro. De content beheer je in Sanity en de website draait op Vercel.
Voor de websites die wij zo bouwen, betekent dat:
- Geen PHP, dus het lek van vandaag raakt ze niet
- Geen pluginlaag, want functionaliteit bouwen we in de eigen code
- Pagina's die zoveel mogelijk vooraf klaarstaan, wat de site snel en minder kwetsbaar maakt
- Onderhoud inbegrepen: hosting, monitoring, updates en dagelijkse back-ups
Voor OK GAS bouwden we zo in vijf weken een nieuwe website, zonder pluginlaag die na elke update opnieuw kan breken. Lees de case van OK GAS.
Veelgestelde vragen
Wat is het PHP-lek van oktober 2026?
Twee kritieke lekken in de programmeertaal PHP, waarmee een aanvaller mogelijk een server op afstand kan overnemen. PHP heeft een oplossing aangekondigd voor 21 oktober 2026 om 16:00 uur. In de media heet het lek ook "PHP2Shell".
Is mijn WordPress-website kwetsbaar?
WordPress draait op PHP, dus vermoedelijk wel, totdat de server is bijgewerkt. Een WordPress-update lost het niet op. Je hostingpartij of bouwer moet PHP bijwerken.
Waarom is het belangrijk om je website up-to-date te houden?
Updates dichten bekende lekken. Bij zwaar aangevallen WordPress-lekken begon massaal misbruik volgens Patchstack in de helft van de gevallen binnen 5 uur. Een website die achterloopt met updates loopt daardoor onnodig risico.
Zijn websites zonder PHP veilig?
Ze hebben minder onderdelen die kunnen worden aangevallen, maar geen enkele website is onkwetsbaar. Wat telt is minder code van derden en iemand die updates direct doorvoert.