Het PHP-lek van oktober 2026: wat het betekent voor jouw website

Op 21 oktober 2026 waren DigiD, MijnOverheid, RTL en Tweakers een middag lang niet bereikbaar. Niet door een storing, maar uit voorzorg: er was een ernstig lek gevonden in PHP, de programmeertaal onder een groot deel van het internet. Misschien was jouw website ook even offline, of kreeg je een mail van je hostingpartij. Loop je risico, en wat moet je nu doen? We zetten op een rij wat er gebeurde, wat je nu controleert en waarom een website van pure code hier anders in staat.

Wat er gebeurde

Het gaat om twee kritieke fouten in PHP zelf, CVE-2026-109618 en CVE-2026-109619, beide met een CVSS 4.0-score van 9,2 op een schaal van 10. Een aanvaller kan er zonder in te loggen eigen code mee uitvoeren op de webserver, wat remote code execution heet. Patchstack en Krebs on Security beschrijven de details. De tijdlijn in kort bestek:

• 20 oktober. De details lekten uit, een dag vóór de geplande publicatie.
• 21 oktober, 07.34 uur UTC. Hostingpartijen meldden de eerste misbruikpogingen aan Patchstack; Cloudflare zag vroege aanvallen en zette firewallregels aan.
• 21 oktober, middag. Uit voorzorg gingen DigiD, MijnOverheid, de website van de Tweede Kamer, RTL, Tweakers, ziekenhuizen en gemeenten offline. In België onder meer de VRT, FOD Financiën, Smartschool, ziekenhuizen en Stad Gent, en ook overheidssites in Finland, Frankrijk en Duitsland, melden de NOS en de VRT.
• 21 oktober, 13.52 uur UTC. Het PHP-project bracht de noodupdates uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Dat was iets voor 16.00 uur Nederlandse tijd.
• 21 oktober, avond. RTL en Tweakers waren iets voor 17.00 uur weer online, MijnOverheid iets na 18.00 uur en DigiD rond 20.30 uur.

De PHP Foundation en het Nationaal Cyber Security Centrum (NCSC) zagen op 21 oktober nog geen bewijs van geslaagd misbruik bij bedrijfswebsites. Het NCSC onderzoekt wel eerste signalen van buiten Nederland en schrijft dat de situatie snel kan verergeren, meldt het ANP via Accountant.nl.

Waarom dit zo groot was

PHP draait onder rond de 70% van alle websites wereldwijd: ruim 70% volgens de VRT, bijna 70% volgens Krebs on Security. WordPress, Drupal, Joomla en Magento zijn alle vier in PHP geschreven. Een fout in PHP raakt dus niet één plugin, maar de laag waar al die systemen op staan.

In een eerder artikel schreven we dat de WordPress-kern zelf veilig is en dat het risico vooral in plugins zit: daar zat volgens Patchstack 91% van de nieuwe kwetsbaarheden in 2025. Dit keer zat de fout een laag dieper, in de taal zelf. Drie dingen maakten het extra groot.

1. Bijna elke versie was geraakt. De fouten zaten er al tientallen jaren; Wiz, Calif en OpenAI vonden ze, mede met AI-modellen. Volgens beveiligingsbedrijf Wiz is elke PHP-versie sinds 5.4 (ruim tien jaar) door minstens één van de twee getroffen.
2. Oude versies krijgen geen update. PHP 8.1 en ouder krijgen geen officiële update meer; alleen sommige leveranciers leveren aangepaste pakketten. Ook nieuwere versies zijn eindig: PHP 8.2 krijgt beveiligingsupdates tot 31 december 2026, PHP 8.3 tot 31 december 2027.
3. Het duurde te lang. De PHP Foundation noemt de vertraging zelf een "structureel falen": al in 2024 was er een vermoeden van misbruik, maar het werk stagneerde door gebrek aan overeenstemming in het beveiligingsteam en een klein team met de nodige kennis.

Wat je nu moet doen als je een WordPress- of PHP-site hebt

Heb je een website op WordPress, Drupal, Joomla, Magento of een ander PHP-systeem, loop dan deze punten na, of vraag je bouwer of host ernaar.

1. Laat je host PHP bijwerken. Een update in je dashboard helpt niet; je hostingpartij moet de PHP-versie op de server vervangen, ook voor een testomgeving of een oude site die nog ergens staat.
2. Controleer de versie. Je wilt 8.2.35, 8.3.36, 8.4.27 of 8.5.12 zien, of nieuwer. Draait je site op 8.1 of ouder, dan moet je over naar een ondersteunde versie.
3. Controleer of er al iemand binnen was. Een patch "maakt een eerdere inbraak niet ongedaan", zegt beveiligingsexpert Wouter van Dongen, en de aanvallen begonnen uren voordat de update er was. Laat kijken naar onbekende bestanden, nieuwe beheerdersaccounts en andere achterdeuren.
4. Vernieuw bij twijfel wachtwoorden en sleutels. Weet je niet zeker of de server schoon is, behandel hem dan als mogelijk gecompromitteerd, zoals Patchstack adviseert: nieuwe wachtwoorden voor dashboard, database en hostingaccount, nieuwe sleutels voor koppelingen zoals betaal- of maildiensten.
5. Controleer je back-up. Je wilt een back-up van vóór 20 oktober die je host kan terugzetten. Een back-up van na een inbraak zet de inbraak mee terug.
6. Pas op voor phishing en nepfixes. Meerdere media waarschuwen voor valse mails uit naam van hostingpartijen met een link om "nu je PHP te updaten". Log altijd zelf in via het adres dat je kent, en installeer geen onofficiële fix-plugins.

Waarom een codewebsite dit anders maakt

Een website van Zoekbaar.nl bestaat uit kant-en-klare bestanden: HTML voor de inhoud, CSS voor de opmaak en een beetje JavaScript voor het menu. Opent een bezoeker een pagina, dan stuurt de server dat bestand, meer niet. Er draait geen CMS, geen database en geen PHP om de pagina samen te stellen. Een lek in de programmeertaal raakt de pagina's zelf dus niet.

We zeggen bewust niet dat zo'n website niets met PHP te maken heeft of niet geraakt kan worden. Het contact- en offerteformulier gebruikt een klein script op de server, en die server is er ook. Het aanvalsoppervlak is veel kleiner: één klein script met één taak, in plaats van een compleet CMS met database, inlogpagina en een rij plugins. En het onderhoud van dat script en van de server ligt bij ons. Hosting en onderhoud horen bij elke website van Zoekbaar.nl, voor € 10,58 per maand exclusief btw. Zoekbaar.nl is een handelsnaam van IT-Wizzard uit Harlingen, dat de servers beheert.

Voor jou betekent dat: je hoeft niets te updaten en je krijgt van ons geen mail met "update nu je PHP-versie". Op een dag als 21 oktober is het bijwerken van de server ons werk, niet het jouwe. Wat overblijft, zeggen we er eerlijk bij: een host die zijn werk moet doen, een domein dat op jouw naam staat en goed beveiligd moet zijn, en een formulier dat bezoekersgegevens verstuurt. Dat is geen belofte van volledige veiligheid, want die bestaat niet. Het is wel veel minder om bij te houden. Voor een webshop, ledenomgeving of boekingssysteem is pure code overigens niet het juiste product; meer daarover lees je op de pagina over de codewebsite.

Wil je een website waarbij dat werk bij ons ligt, stel hem dan samen in de wizard.