PHP-lekken: waarom uw website bij een kritiek lek binnen uren moet worden bijgewerkt

Op 21 oktober haalden tal van organisaties hun websites uit voorzorg offline na twee kritieke kwetsbaarheden in PHP, de programmeertaal achter meer dan 70 procent van alle websites. Wat betekent dat voor uw bedrijf?

Wat er gebeurde

Ontwikkelaars van PHP waarschuwden op dinsdag voor twee kritieke kwetsbaarheden, opgespoord met behulp van AI. Op woensdag rond 16 uur verscheen een beveiligingsupdate voor PHP 8.2 en nieuwer. Oudere versies kregen geen directe patch.

Volgens de liveblog van VRT NWS haalden onder meer Smartschool, Knack, de Vlaamse overheidssites, FOD Financiën, het CCB en DPG Media hun websites uit voorzorg offline. Ook in Nederland en Frankrijk gebeurde dat. Volgens het CCB heeft de patch in veel gevallen geholpen en zijn veel websites weer online. Smartschool meldde dat er geen gegevens gestolen zijn.

Wat experts zeggen

• Vincent Ginis (VUB) vond de angst terecht, maar ziet voorlopig geen grote hacks. Een goed uitgevoerde hack blijft volgens hem vaak onopgemerkt.
• Het CCB kreeg nog geen meldingen van hacks. AI maakt het wel makkelijker om lekken te vinden.
• Computerwetenschapper Jeroen Baert wijst erop dat de tijd om een update te installeren is gekrompen van weken naar dagen of zelfs uren, omdat hackers oude en nieuwe code kunnen vergelijken.
• NVISO raadt aan om te weten welke software en welke versies u gebruikt.

Wat nog niet duidelijk is

Of er al effectief gegevens zijn gestolen, en hoe lang het duurt voor alle sites met oudere PHP-versies weer bereikbaar zijn.

Wat dit voor uw bedrijf betekent

Veel bedrijfswebsites, webshops en klantportalen draaien op PHP, vaak via WordPress of een webshopsysteem, en het is zelden duidelijk wie de updates bijhoudt.

1. Weet welke versie u gebruikt. Vraag uw webbouwer of hoster welke PHP-versie uw website heeft.
2. Vervang verouderde versies. Een PHP-versie die geen updates meer krijgt, is bij het volgende lek niet te redden.
3. Spreek af wie updates doet en hoe snel. Bij een kritiek lek telt het in uren, niet in weken.
4. Maak back-ups die u kan terugzetten. Zo kan u een site veilig offline halen en weer online brengen.
5. Heb een noodplan. Wie moet beslissen om de website offline te halen, en wie communiceert met klanten?

Wilt u weten welke PHP-versie uw website draait en of ze nog bijgewerkt wordt? NVIT kijkt graag met u mee.

Bron: VRT NWS liveblog van 21–22 oktober 2026. De situatie kan sindsdien gewijzigd zijn.

Foto: Tirza van Dijk via Wikimedia Commons (CC0)