NCSC onderzoekt eerste signalen van misbruik PHP-lekken
Het cybercentrum waarschuwt organisaties om hun systemen direct te patchen of offline te houden.
Vervolg op: DigiD en MijnOverheid offline door kritieke PHP-lekken woensdag 21 oktober 2026, 15:27
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Het Nationaal Cyber Security Centrum onderzoekt de eerste signalen dat de twee kritieke kwetsbaarheden in PHP succesvol zijn misbruikt. Het NCSC zegt niet dat de signalen al zijn bevestigd, maar noemt de situatie urgent omdat werkende aanvalstechnieken openbaar zijn.
De waarschuwing staat in een NCSC-update die volgens de publicatiegegevens donderdag om 16.00 uur verscheen. Volgens het cybercentrum zijn sinds de beschikbaarheid van beveiligingsupdates verschillende websites weer online gekomen, maar moeten organisaties die nog niet hebben bijgewerkt hun systemen uit voorzorg offline houden.
De kwetsbaarheden zitten in de programmeertaal PHP. Volgens de PHP-ontwikkelaars kunnen aanvallers zonder inloggegevens op afstand code uitvoeren. De twee fouten hebben de identificatienummers CVE-2026-109618 en CVE-2026-109619 en kregen de classificatie ‘kritiek’.
Het NCSC schrijft dat het de eerste signalen van succesvol misbruik onderzoekt. Die mededeling alleen maakt niet duidelijk welke systemen zijn geraakt, wie achter eventuele aanvallen zit of hoeveel organisaties risico lopen. Volgens het NCSC zijn wel zogenoemde proof-of-concepts beschikbaar: voorbeelden die aantonen dat de kwetsbaarheden in principe kunnen worden uitgebuit.
De PHP-organisatie heeft updates uitgebracht voor de versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Volgens de PHP-organisatie zijn voor oudere versies vanwege de ernst beperkte broncodepatches beschikbaar gesteld, maar worden PHP 8.1 en oudere versies niet meer regulier door het project onderhouden. Het NCSC adviseert organisaties daarnaast de updates van hun Linux-distributie of andere softwareleverancier te volgen.
Volgens het NCSC werden eerder onder meer overheidswebsites preventief offline gehaald en deed het centrum dat zelf tijdelijk ook. Volgens persbureau AP zijn daarnaast websites en diensten in onder meer het Verenigd Koninkrijk, Finland en Japan tijdelijk uitgeschakeld terwijl beheerders de kwetsbaarheid onderzochten.
De situatie laat zien dat het verschijnen van een patch niet betekent dat het risico direct voorbij is. Organisaties moeten nagaan welke PHP-versie en welke toepassingen zij gebruiken, controleren of updates correct zijn geïnstalleerd en systemen op afwijkende activiteiten blijven monitoren. Het NCSC zegt dat tijdelijke maatregelen slechts specifieke aanvalspaden beperken; volledig herstel van de kwetsbaarheid is volgens het centrum alleen mogelijk met een beveiligingsupdate.
Eén verhaal, meerdere perspectieven
Wat vaststaat
- Het NCSC onderzoekt eerste signalen van succesvol misbruik.
- De kwetsbaarheden kunnen systemen op afstand in gevaar brengen.
- Het NCSC adviseert direct patchen of systemen tijdelijk offline houden.
- De overheid schrijft geen algemene wettelijke sluiting van kwetsbare websites voor.
Links
Argumenten De overheid en grote technologiebedrijven dragen samen verantwoordelijkheid voor digitale veiligheid. Organisaties moeten ruimte krijgen om snel te patchen, ook als dat tijdelijk publieke diensten verstoort.
Waarden Bescherming van burgers, publieke voorzieningen en werknemers; digitale veiligheid als publieke zaak.
Gevolgen Meer publieke ondersteuning en strengere beveiligingseisen kunnen risico’s verkleinen, maar vragen geld en kunnen kleinere organisaties zwaar belasten.
Midden
Argumenten De proportionele aanpak is om onmiddellijk te patchen, risico’s per systeem te beoordelen en alleen waar nodig diensten tijdelijk uit te schakelen. Daarbij is transparante informatie over incidenten belangrijk.
Waarden Continuïteit, proportionaliteit, deskundig toezicht en uitvoerbaarheid.
Gevolgen Gerichte maatregelen beperken schade zonder alle digitale dienstverlening onnodig stil te leggen.
Rechts
Argumenten Organisaties moeten primair zelf verantwoordelijk zijn voor actueel beheer van hun systemen. De overheid moet duidelijke waarschuwingen geven, maar terughoudend zijn met extra regels en aansprakelijkheid.
Waarden Eigen verantwoordelijkheid, ondernemingsvrijheid en een beperkte overheid.
Gevolgen Minder regeldruk kan innovatie en snelheid helpen, maar slecht beveiligde organisaties kunnen burgers en andere bedrijven blijven blootstellen.
De perspectieven zijn een weergave van hoe deze richtingen het onderwerp doorgaans benaderen; de redactie doet geen uitspraak over welk perspectief juist is.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kern van het artikel is rechtstreeks gebaseerd op de update van het NCSC van 22 oktober. Technische details en internationale context zijn gecontroleerd aan de hand van PHP, AP en Reuters; het artikel maakt duidelijk onderscheid tussen onderzochte signalen en bevestigde aanvallen.
- bevestigd Het NCSC onderzoekt eerste signalen van succesvol misbruik van de PHP-kwetsbaarheden. — Staat letterlijk als inhoudelijke mededeling in de update van het NCSC van 22 oktober. bron
- bevestigd Er zijn twee kritieke PHP-kwetsbaarheden met CVE-nummers CVE-2026-109618 en CVE-2026-109619. — Bevestigd in het PHP-securityadvies. bron
- bevestigd De kwetsbaarheden kunnen code-uitvoering op afstand zonder authenticatie mogelijk maken. — PHP beschrijft unauthenticated remote code execution; AP geeft dezelfde technische duiding. bron
- bevestigd Updates zijn beschikbaar voor PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. — Versienummers staan in de NCSC- en PHP-publicaties. bron
- bevestigd Ook websites in het Verenigd Koninkrijk, Finland en Japan werden tijdelijk offline gehaald. — AP noemt deze landen in de berichtgeving over de internationale gevolgen. bron
- bevestigd Zuid-Korea verhoogde zijn cyberwaarschuwingsniveau vanwege de PHP-kwetsbaarheden. — Reuters meldt de maatregel en de verspreiding van beveiligingsadviezen. bron
Noot van de redactie
Zeker is dat het NCSC eerste signalen van mogelijk succesvol misbruik onderzoekt en dat patches beschikbaar zijn. Onzeker zijn de omvang, slachtoffers en daders; daarvoor geeft het NCSC nog geen bevestiging.Bronnen
- Update: PHP-kwetsbaarheden nog steeds reden om direct te patchen — Nationaal Cyber Security Centrum
- PHP vulnerabilities: Who's exposed and how AI both helps and hurts security — Associated Press
- Security advisory: Critical remote code execution vulnerabilities, update now — PHP
- South Korea activates emergency response to PHP security flaws — Reuters
Het verhaal tot nu toe
- woensdag 21 oktober 2026, 08:13 PHP waarschuwt voor twee kritieke beveiligingslekken
- woensdag 21 oktober 2026, 11:12 Aanvallen via PHP-lekken gemeld, bewijs blijft beperkt
- woensdag 21 oktober 2026, 15:27 DigiD en MijnOverheid offline door kritieke PHP-lekken
- woensdag 21 oktober 2026, 18:26 PHP brengt beveiligingspatch uit; websites kunnen terugkeren na update
- donderdag 22 oktober 2026, 19:34 NCSC onderzoekt eerste signalen van misbruik PHP-lekken (dit artikel)
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- de Volkskrant — „php cyberveiligheid”
- NOS — „php cyberveiligheid”
- Het Parool — „php cyberveiligheid”