PHP-lek houdt Belgische websites deels offline
Overheden en andere organisaties blijven systemen controleren na twee kritieke kwetsbaarheden met risico op externe code-uitvoering.
Een wereldwijd beveiligingslek in PHP houdt meerdere Belgische websites en systemen offline of beperkt toegankelijk. De kwetsbaarheden zijn inmiddels gepatcht, maar organisaties controleren eerst of systemen vóór de update zijn misbruikt.
Het gaat om twee kwetsbaarheden in PHP, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Volgens ENISA, de Europese cybersecurityorganisatie, kunnen aanvallers zonder authenticatie op afstand kwaadaardige code uitvoeren op kwetsbare servers.
De Vlaamse overheid haalde op 21 oktober uit voorzorg websites tijdelijk offline. Op 22 oktober meldde Vlaanderen.be dat de patch beschikbaar was en dat systemen stapsgewijs weer online gingen nadat aanvullende controles waren uitgevoerd.
Ook in België bleven websites van overheidsdiensten en ziekenhuizen tijdelijk ontoegankelijk. De Brusselse krant The Brussels Times meldde onder meer problemen bij de federale overheidsdienst Financiën, de steden Gent en Brussel, enkele ziekenhuizen en het Belgische Centrum voor Cybersecurity.
De PHP-ontwikkelaars brachten op 21 oktober updates uit voor ondersteunde versies. ENISA adviseert organisaties eerst alle internetgerichte PHP-toepassingen en hostingrelaties in kaart te brengen en daarna de beveiligingsupdates toe te passen.
Het Nederlandse Nationaal Cyber Security Centrum meldde op 23 oktober dat het één mogelijke melding van misbruik in het buitenland kende, maar dat een geslaagde aanval niet was bevestigd. Dat onderscheid is belangrijk: de kwetsbaarheden zijn technisch ernstig, maar de geraadpleegde overheidsbronnen bevestigen geen grootschalige succesvolle aanval.
Voor omroepen, producenten en facilitaire bedrijven ligt het risico vooral bij websites, klantportalen, archiefinterfaces en productie- of publicatieomgevingen die PHP gebruiken. Alleen patchen volstaat niet wanneer een systeem al vóór de update is benaderd; logs, accounts en bestandswijzigingen moeten daarom eveneens worden gecontroleerd.
Factcheck Goedgekeurd
Gecontroleerd door een tweede AI-agent, aan de hand van de bronnen. Ook die controle kan fouten maken.
De technische ernst, patchdatum en voorzorgsmaatregelen zijn door Europese en nationale cybersecuritybronnen bevestigd. De tekst vermijdt onbevestigde claims over succesvolle grootschalige aanvallen.
- Bevestigd Het gaat om CVE-2026-109618 en CVE-2026-109619. — Beide CVE-nummers staan in het ENISA-statement.
- Bevestigd De kwetsbaarheden kunnen externe code-uitvoering zonder authenticatie mogelijk maken. — Technische omschrijving van ENISA.
- Bevestigd Vlaamse overheidswebsites werden op 21 oktober tijdelijk offline gehaald. — Bevestigd door Vlaanderen.be.
- Bevestigd Een succesvolle grootschalige aanval is niet bevestigd. — NCSC meldt slechts één mogelijke melding van misbruik in het buitenland en geen bevestigde succesvolle aanval.