PHP brengt beveiligingspatch uit; websites kunnen terugkeren na update
De ontwikkelaars hebben twee kritieke kwetsbaarheden gedicht, maar beheerders moeten hun systemen nog bijwerken.
Vervolg op: DigiD en MijnOverheid offline door kritieke PHP-lekken woensdag 21 oktober 2026, 15:27
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
De ontwikkelaars van PHP hebben woensdag beveiligingsupdates uitgebracht voor twee kritieke kwetsbaarheden. Websites die uit voorzorg offline gingen, kunnen daardoor geleidelijk terugkeren, maar het risico blijft alleen beperkt na een daadwerkelijke update van de servers.
De nieuwe versies van PHP 8.5, 8.4, 8.3 en 8.2 bevatten oplossingen voor twee kwetsbaarheden waarmee een aanvaller onder bepaalde omstandigheden code op afstand kan uitvoeren zonder eerst in te loggen. De PHP-ontwikkelaars noemen bijwerken de enige volledige oplossing.
De kwetsbaarheden waren aanleiding voor voorzorgsmaatregelen. Volgens Reuters haalden organisaties in verschillende Europese landen overheids-, onderwijs- en ziekenhuiswebsites tijdelijk offline. In Nederland ging het onder meer om Overheid.nl, de websites van de Rotterdamse haven en de KNVB, websites van politieke partijen en sites van ziekenhuizen.
Websites kunnen na verwerking van de beveiligingsupdate weer online komen. Daarbij zijn controles nodig: organisaties moeten niet alleen PHP bijwerken, maar ook controleren welke versie daadwerkelijk op de server draait en of gekoppelde software kwetsbaar blijft.
De Britse National Cyber Security Centre schrijft dat een van de kwetsbaarheden kan leiden tot een geheugenfout die onder voorwaarden kan worden uitgebuit om kwaadaardige code uit te voeren. De instantie adviseert organisaties die nog niet kunnen bijwerken hun systemen verder af te schermen of tijdelijk offline te houden.
Er is nog geen volledig beeld van misbruik. Reuters meldde dat Cloudflare vroege aanvallen zag ontstaan, terwijl de Australische cyberveiligheidsdienst zei geen actieve uitbuiting te hebben vastgesteld. Dat verschil betekent dat organisaties niet kunnen volstaan met wachten op bevestiging van een aanval: de kwetsbaarheid zelf is inmiddels verholpen, maar niet automatisch op systemen die nog een oude versie gebruiken.
Voor Nederlandse gebruikers kunnen publieke en commerciële websites na het bijwerken weer bereikbaar worden. Een website die weer online is, is daarmee niet automatisch veilig; de beveiligingsstatus hangt af van de geïnstalleerde versie, eventuele aanvullende software en controles op tekenen van eerdere toegang. Beheerders van oudere PHP-versies moeten nagaan of voor hun versie een beveiligingsupdate beschikbaar is.
Toon ook waar in Europa en op de wereld
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kern van het artikel is rechtstreeks bevestigd door PHP, Reuters en het Britse NCSC. Onzekerheid over actieve aanvallen en het tempo van herstel is expliciet als onzekerheid beschreven.
- bevestigd PHP bracht updates uit voor versies 8.5, 8.4, 8.3 en 8.2. — Genoemd in de officiële PHP-release-informatie. bron
- bevestigd De kwetsbaarheden kunnen onder voorwaarden leiden tot uitvoering van code op afstand zonder authenticatie. — PHP en het Britse NCSC beschrijven dit risico. bron
- bevestigd Nederlandse overheids-, haven-, politieke en ziekenhuiswebsites gingen uit voorzorg offline. — Reuters noemt deze Nederlandse voorbeelden. bron
- bevestigd Cloudflare zag vroege aanvallen, terwijl Australië geen actieve uitbuiting had vastgesteld. — Beide observaties staan in de Reuters-factbox. bron
- bevestigd Niet iedere website die terug online is, is automatisch veilig. — Dit volgt uit de officiële instructie dat daadwerkelijk bijwerken noodzakelijk is. bron
Noot van de redactie
Zeker is dat PHP updates heeft uitgebracht en dat organisaties websites uit voorzorg offline haalden. Het herstel verloopt per organisatie; de omvang van daadwerkelijke aanvallen is nog niet vastgesteld.Bronnen
- PHP security release fixing two critical vulnerabilities — PHP
- Factbox: Websites taken offline over PHP risks — Reuters via Euronext
- Critical security issue affecting PHP — National Cyber Security Centre
Het verhaal tot nu toe
- woensdag 21 oktober 2026, 08:13 PHP waarschuwt voor twee kritieke beveiligingslekken
- woensdag 21 oktober 2026, 11:12 Aanvallen via PHP-lekken gemeld, bewijs blijft beperkt
- woensdag 21 oktober 2026, 15:27 DigiD en MijnOverheid offline door kritieke PHP-lekken
- woensdag 21 oktober 2026, 18:26 PHP brengt beveiligingspatch uit; websites kunnen terugkeren na update (dit artikel)
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- de Volkskrant — „php cybersecurity”
- NOS — „php cybersecurity”
- Het Parool — „php cybersecurity”