Aanvallen via PHP-lekken gemeld, bewijs blijft beperkt
Beveiligingsdiensten waarschuwen voor twee kritieke kwetsbaarheden terwijl websites en overheidsportalen voorzorgsmaatregelen nemen.
Vervolg op: PHP waarschuwt voor twee kritieke beveiligingslekken woensdag 21 oktober 2026, 08:13
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Na waarschuwingen over twee kritieke kwetsbaarheden in PHP melden meerdere media aanvallen op websites die de programmeertaal gebruiken. Onafhankelijke bevestiging van grootschalige succesvolle aanvallen ontbreekt voorlopig, terwijl organisaties zich voorbereiden op beveiligingsupdates.
De Europese cybersecuritydienst CERT-EU waarschuwde voor twee kwetsbaarheden in PHP die mogelijk uitvoering van code op afstand toestaan. De dienst publiceerde de waarschuwing op 20 oktober en adviseerde organisaties om kwetsbare systemen direct na beschikbaarheid van de beveiligingsupdate te installeren.
Volgens CERT-EU gaat het om CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden hebben volgens de dienst een voorlopige CVSS-score van 9,2, een aanduiding voor een potentieel zeer ernstige fout. Volgens CERT-EU waren technische details bij publicatie van de waarschuwing nog niet openbaar.
De PHP-organisatie had aangekondigd op 21 oktober om 14.00 uur UTC een beveiligingsrelease uit te brengen. Beheerders kunnen de officiële oplossing installeren zodra deze beschikbaar is.
Nederlandse media melden dat aanvallers de kwetsbaarheden al proberen te misbruiken. Volgens die mediaberichten zijn ook raadsinformatieportalen van gemeenten, provincies en waterschappen uit voorzorg offline gehaald. In de beschikbare openbare waarschuwingen van CERT-EU staat echter niet dat een specifieke Nederlandse aanval of grootschalige succesvolle exploitatie is vastgesteld.
De mogelijke impact is groot omdat PHP op veel webservers en in veel contentmanagementsystemen wordt gebruikt. Een kwetsbaarheid die code-uitvoering op afstand mogelijk maakt, kan in het slechtste geval leiden tot overname van een server, datadiefstal of verstoring van een website. Dat is een risico-inschatting, geen vaststelling dat dit in deze zaak al is gebeurd.
Beheerders moeten volgens CERT-EU eerst vaststellen waar PHP wordt gebruikt en systemen voorbereiden op onmiddellijke installatie van de officiële patches. Waar reparatie niet direct kan, adviseert de dienst internettoegang tot kwetsbare toepassingen te beperken. Hoeveel systemen daadwerkelijk zijn aangevallen en hoeveel organisaties zijn getroffen, is nog niet openbaar gemaakt.
Eén verhaal, meerdere perspectieven
Wat vaststaat
- CERT-EU waarschuwt voor twee kritieke kwetsbaarheden in PHP.
- De officiële beveiligingsrelease was aangekondigd voor 21 oktober 2026 om 14.00 uur UTC.
- De omvang van eventuele aanvallen en de gevolgen voor Nederlandse organisaties zijn niet vastgesteld.
Links
Argumenten De situatie laat zien dat digitale veiligheid een publieke verantwoordelijkheid is. Kritieke software die breed in de samenleving wordt gebruikt, vraagt om structurele investeringen in onderhoud, open standaarden en ondersteuning voor organisaties die zelf onvoldoende capaciteit hebben.
Waarden Collectieve veiligheid, toegankelijkheid en bescherming van publieke voorzieningen.
Gevolgen Zonder publieke ondersteuning kunnen vooral gemeenten, kleine bedrijven en maatschappelijke organisaties kwetsbaar blijven voor fouten in essentiële software.
Midden
Argumenten De institutionele aanpak is om eerst de feiten vast te stellen, de officiële patch af te wachten en organisaties gericht te helpen bij het isoleren en herstellen. Maatregelen moeten proportioneel zijn en gebaseerd op aantoonbaar risico.
Waarden Continuïteit, proportionaliteit en betrouwbare informatie.
Gevolgen Te weinig ingrijpen vergroot het risico, maar ongecoördineerd systemen offline halen kan publieke dienstverlening onnodig verstoren.
Rechts
Argumenten Organisaties die internetdiensten exploiteren moeten zelf verantwoordelijk blijven voor patchen, segmenteren en het beperken van blootstelling. Afhankelijkheid van veelgebruikte open software mag geen excuus zijn voor slecht beheer.
Waarden Eigen verantwoordelijkheid, weerbaarheid en beperkte overheidsbemoeienis.
Gevolgen Strengere aansprakelijkheid en hogere beveiligingseisen kunnen de digitale weerbaarheid verbeteren, maar ook kosten verhogen voor kleine organisaties.
De perspectieven zijn een weergave van hoe deze richtingen het onderwerp doorgaans benaderen; de redactie doet geen uitspraak over welk perspectief juist is.
Factcheck Goedgekeurd met correcties · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kwetsbaarheden, ernstclassificatie en geplande release zijn door CERT-EU bevestigd. De bewering dat er al grootschalige aanvallen plaatsvinden is niet onafhankelijk vastgesteld en is daarom afgezwakt.
- bevestigd CERT-EU publiceerde op 20 oktober 2026 een waarschuwing over twee kritieke PHP-kwetsbaarheden. — Vermeld in de officiële CERT-EU-waarschuwing. bron
- bevestigd De kwetsbaarheden kunnen mogelijk uitvoering van code op afstand toestaan. — CERT-EU beschrijft potentieel unauthenticated remote code execution. bron
- bevestigd De kwetsbaarheden hebben een voorlopige CVSS-score van 9,2. — Genoemd in de technische samenvatting van CERT-EU. bron
- onzeker Er zijn al grootschalige succesvolle aanvallen vastgesteld. — De openbare primaire waarschuwing bevestigt actieve succesvolle exploitatie niet. bron
1 correctie(s) doorgevoerd
- Was: Aanvallers voeren wereldwijd grote cyberaanvallen uit via de PHP-lekken.Nu: Meerdere media melden aanvallen, maar onafhankelijke bevestiging van grootschalige succesvolle exploitatie ontbreekt. (De primaire openbare waarschuwing bevestigt actieve grootschalige exploitatie niet.)
Noot van de redactie
De kwetsbaarheden en de geplande beveiligingsrelease zijn bevestigd door CERT-EU en PHP. Meldingen over actieve aanvallen en offline gehaalde Nederlandse portalen konden niet onafhankelijk met een primaire bron worden bevestigd; daarom staat dit artikel op insufficient_sources.Bronnen
Het verhaal tot nu toe
- woensdag 21 oktober 2026, 08:13 PHP waarschuwt voor twee kritieke beveiligingslekken
- woensdag 21 oktober 2026, 11:12 Aanvallen via PHP-lekken gemeld, bewijs blijft beperkt (dit artikel)
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- Trouw — „php cybersecurity”
- NU.nl — „php cybersecurity”
- De Telegraaf — „php cybersecurity”