DigiD en MijnOverheid offline door kritieke PHP-lekken
Websites en apps zijn uit voorzorg uitgeschakeld terwijl een beveiligingsupdate wordt voorbereid.
Vervolg op: Aanvallen via PHP-lekken gemeld, bewijs blijft beperkt woensdag 21 oktober 2026, 11:12
De volgredacteur houdt het voor je bij
Updates
De beveiligingsupdates voor PHP zijn beschikbaar. PHP adviseert beheerders de versies 8.2.35, 8.3.36, 8.4.27 of 8.5.12 zo snel mogelijk te installeren. (PHP)
Het NCSC meldde dat er inmiddels publieke proof-of-conceptcode beschikbaar was, maar dat nog geen actief misbruik was gesignaleerd. Volgens het centrum waren alle PHP-versies vanaf 5 potentieel kwetsbaar. (Rijksoverheid)
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
DigiD.nl, MijnOverheid.nl, de website van de Tweede Kamer, RTL Nieuws en de Schiphol-app zijn woensdag uit voorzorg offline gehaald vanwege twee kritieke kwetsbaarheden in PHP. Burgers kunnen daardoor MijnOverheid niet bereiken, terwijl DigiD volgens de laatste informatie nog wel gebruikt kan worden om bij andere diensten in te loggen.
De maatregelen zijn genomen omdat de kwetsbaarheden het mogelijk maken om op afstand een server aan te sturen. De DigiD-website en MijnOverheid zijn niet bereikbaar. In de Schiphol-app verschijnen geen actuele vluchtgegevens meer; Schiphol verwijst reizigers naar zijn website. Ook websites van meerdere ziekenhuizen, provincies, onderwijsinstellingen en publieke organisaties zijn tijdelijk uitgeschakeld.
De Tweede Kamer haalde haar website eveneens offline. Volgens een woordvoerder kunnen kwaadwillenden door de kwetsbaarheden mogelijk controle over een server krijgen. RTL zette zowel zijn website als app uit en voert naar eigen zeggen een dringende beveiligingsupdate uit. De website van Schiphol is volgens de berichtgeving nog wel bereikbaar.
Voor gebruikers betekent de maatregel vooral dat MijnOverheid tijdelijk niet toegankelijk is en dat de DigiD-website niet beschikbaar is. De DigiD-inlogfunctie zelf bleef volgens de laatste openbare informatie wel werken bij verschillende aangesloten organisaties. Een afzonderlijke, bevestigde hersteltijd voor DigiD en MijnOverheid is niet gemeld door Logius, de uitvoerder van deze diensten.
Het Nationaal Cyber Security Centrum zegt geen actief misbruik van de kwetsbaarheden te hebben gezien. Tegelijkertijd noemt het NCSC elk publiek bereikbaar systeem dat PHP gebruikt vermoedelijk kwetsbaar zolang het niet is bijgewerkt. Organisaties kunnen daarom na een eigen risicoanalyse de patch snel installeren of hun website tijdelijk offline halen.
De PHP-organisatie had de beveiligingsupdate aangekondigd voor woensdag 21 oktober om 14.00 uur UTC, 16.00 uur Nederlandse tijd. Om 15.26 uur Nederlandse tijd stond die release op de officiële PHP-site nog als aankomend vermeld. Daarmee was nog niet bevestigd wanneer Nederlandse websites en apps weer online zouden komen.
Eerder was bekend geworden dat wereldwijd twee kritieke PHP-kwetsbaarheden waren ontdekt. Beide kregen een CVSS-score van 9,2. PHP raadde gebruikers aan zich op de update voor te bereiden, maar zou de technische details en vaste versies volgens de aankondiging pas bij de release publiceren. De eerste Nederlandse organisaties besloten daarop hun publieke systemen uit voorzorg uit te schakelen. Dat is op zichzelf geen bewijs dat bij deze organisaties is ingebroken.
Toon ook waar in Europa en op de wereld
Eén verhaal, meerdere perspectieven
Wat vaststaat
- Twee kritieke kwetsbaarheden in PHP leidden tot voorzorgsmaatregelen bij veel Nederlandse organisaties.
- Het NCSC meldde geen actief misbruik, maar waarschuwde dat publiek bereikbare PHP-systemen kwetsbaar konden zijn.
- De officiële patch stond gepland voor 21 oktober om 16.00 uur Nederlandse tijd.
- Websites offline halen beperkt het risico, maar belemmert tijdelijk publieke dienstverlening.
Links
Argumenten Publieke digitale diensten moeten maximale veiligheid bieden, ook als dat tijdelijke ontoegankelijkheid veroorzaakt. Overheden horen te investeren in moderne, goed onderhouden infrastructuur en burgers niet afhankelijk te maken van kwetsbare systemen.
Waarden Gelijke toegang, publieke verantwoordelijkheid, privacy en bescherming tegen digitale schade.
Gevolgen Voorzorgsmaatregelen kunnen vooral mensen raken die volledig afhankelijk zijn van digitale overheidsdiensten; daarom zijn alternatieven en goede communicatie nodig.
Midden
Argumenten Het offline halen van systemen is verdedigbaar zolang de risicoanalyse dat rechtvaardigt, maar organisaties moeten patchprocessen, continuïteit en communicatie goed op elkaar afstemmen.
Waarden Proportionaliteit, deskundig risicobeheer en betrouwbare publieke dienstverlening.
Gevolgen Een tijdelijke storing is aanvaardbaar als daarmee een groter incident wordt voorkomen, maar herstel en evaluatie moeten snel volgen.
Rechts
Argumenten Overheden en bedrijven moeten zelf verantwoordelijk zijn voor hun digitale beveiliging en mogen burgers niet onnodig afhankelijk maken van centrale systemen. Een website afsluiten is begrijpelijk, maar structureel uitstel van onderhoud is niet acceptabel.
Waarden Eigen verantwoordelijkheid, continuïteit, efficiëntie en weerbaarheid.
Gevolgen Langdurige uitval kan economische en bestuurlijke schade veroorzaken; organisaties moeten daarom redundante systemen en duidelijke aansprakelijkheid regelen.
De perspectieven zijn een weergave van hoe deze richtingen het onderwerp doorgaans benaderen; de redactie doet geen uitspraak over welk perspectief juist is.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kernfeiten zijn bevestigd door NOS en de officiële PHP-site. De tekst maakt duidelijk onderscheid tussen voorzorgsmaatregelen, het ontbreken van gemeld actief misbruik en het nog niet verschenen zijn van de update.
- bevestigd DigiD.nl en MijnOverheid.nl zijn uit voorzorg offline gehaald. — NOS meldt beide diensten expliciet als offline. bron
- bevestigd Het NCSC zag geen actief misbruik en waarschuwde dat publiek bereikbare PHP-systemen vermoedelijk kwetsbaar zijn. — NOS citeert de NCSC-waarschuwing. bron
- bevestigd De PHP-update stond gepland voor 21 oktober om 14.00 uur UTC. — De officiële PHP-site noemt dit releasemoment. bron
- bevestigd DigiD bleef bruikbaar voor inloggen bij verschillende aangesloten organisaties. — Dit wordt gemeld in de NOS-liveblog. bron
- bevestigd Er was om 15.26 uur nog geen bevestigde hersteltijd. — De geraadpleegde openbare bronnen geven geen hersteltijd; de PHP-site vermeldt de patch nog als aankomend. bron
Noot van de redactie
Bevestigd zijn de offline gehaalde diensten, de voorzorgsmaatregel, de NCSC-waarschuwing en het geplande releasemoment. Om 15.26 uur was de patch nog niet officieel verschenen en was geen hersteltijd bevestigd. De openbare informatie bevatte geen aanwijzing voor een bevestigde inbraak bij DigiD of MijnOverheid.Bronnen
Het verhaal tot nu toe
- woensdag 21 oktober 2026, 08:13 PHP waarschuwt voor twee kritieke beveiligingslekken
- woensdag 21 oktober 2026, 11:12 Aanvallen via PHP-lekken gemeld, bewijs blijft beperkt
- woensdag 21 oktober 2026, 15:27 DigiD en MijnOverheid offline door kritieke PHP-lekken (dit artikel)
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- Trouw — „php digid”
- NU.nl — „php digid”
- De Telegraaf — „php digid”