Misschien heb je het vandaag al op het nieuws gezien: DigiD, MijnOverheid, de website van de Tweede Kamer en Tweakers zijn uit de lucht. De oorzaak is een ernstig lek in PHP, de programmeertaal waar onder andere WordPress en WooCommerce op draaien. Ook de websites die wij bouwen en beheren draaien op PHP.
In dit bericht leggen we uit wat er aan de hand is en wat wij doen.
Wat is er aan de hand?
Op dinsdag 20 oktober kondigde het beveiligingsteam van PHP een noodupdate aan voor twee kritieke lekken (CVE-2026-109618 en CVE-2026-109619). Normaal blijven de details van zo’n lek geheim tot de update er is. Dit keer zijn ze vooraf uitgelekt, waardoor kwaadwillenden er al mee aan de slag kunnen.
Het lek zit in PHP zelf, niet in WordPress of in een plugin. Een aanvaller kan via een speciaal opgesteld verzoek eigen code op de server uitvoeren, zonder ergens in te loggen. Een beveiligingsplugin in WordPress houdt dit niet tegen, want de aanval gebeurt al voordat WordPress aan de beurt is.
De update komt vandaag, woensdag 21 oktober, om 16:00 uur Nederlandse tijd. Volgens de eerste berichten zijn de gerepareerde versies PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. PHP 8.1 en ouder krijgen geen update meer.
Waarom gaan zoveel websites offline?
Tot de update er is, bestaat er geen echte oplossing. Er zijn tijdelijke maatregelen die het risico kleiner maken, maar volgens de ontwikkelaars van PHP is updaten de enige manier om het lek echt te dichten. Cloudflare zag vanochtend de eerste aanvallen. Het NCSC heeft nog geen actief misbruik vastgesteld.
Organisaties met veel gevoelige gegevens nemen daarom het zekere voor het onzekere. Naast DigiD en MijnOverheid gaat het onder andere om RTL, de websites van het NCSC en de Autoriteit Persoonsgegevens, Woningnet en een aantal voetbalclubs, waaronder FC Twente.
Wat wij doen voor onze klanten
De websites die wij beheren draaien op onze eigen server. Daar hebben we vanochtend tijdelijke maatregelen genomen om het risico te verkleinen. Zodra de update om 16:00 uur beschikbaar is, installeren we die en controleren we de websites. Heb je een webshop en wil je die tot de update liever even uit de lucht halen? Neem dan contact met ons op.
Twijfel je of je website goed beschermd is, of wordt je site ergens anders gehost? Neem contact met ons op, dan kijken we met je mee.
