Nieuws
Ernstig lek in PHP: wij halen PHP-websites uit voorzorg offline
21 oktober 2026 · 3 min lezen
Er zijn twee ernstige lekken ontdekt in PHP, de software waar een groot deel van alle websites op draait. Alle sites die wij uit voorzorg offline hebben gehaald, zijn inmiddels bijgewerkt en weer online.
UPDATE · 21 oktober 2026, 17:34 uur (Nederlandse tijd)
Alle sites zijn bijgewerkt en weer online.
UPDATE · 21 oktober 2026, 16:53 uur (Nederlandse tijd)
We werken nu alle websites en servers bij. We verwachten dat alle sites snel weer online zijn.
UPDATE · 21 oktober 2026, 15:51 uur (Nederlandse tijd)
De updates staan online en kunnen worden ingezet. PHP adviseert organisaties om zo snel mogelijk te updaten.
Websites kunnen na de update mogelijk niet direct weer online. Het Nationaal Cyber Security Centrum (NCSC) waarschuwt: "Sommige websites kunnen een knop omzetten, maar voor andere websites kan het langer duren. Afhankelijk van welke versie ze gebruiken."
Het bijwerken kan minuten of uren duren, maar ook langer. Volgens het NCSC is het mogelijk dat later nog een nieuwe update beschikbaar wordt gesteld als de eerste niet alle problemen oplost.
Een beschikbare update betekent niet dat je website meteen weer online is
We installeren de updates en controleren de website voordat we die weer online zetten. Hoe lang dat duurt, hangt onder andere af van de gebruikte PHP-versie. Veilig weer online gaan staat voorop.
Wat is er aan de hand?
Op 20 oktober 2026 maakte het PHP-team bekend dat er twee kritieke lekken in PHP zitten. Ze zijn allebei beoordeeld met een 9,2 op een schaal van 10. Via deze lekken kan een aanvaller van buitenaf, zonder in te loggen, zijn eigen code op een webserver uitvoeren. Dan kan hij in het ergste geval de hele website overnemen.
Informatie over de lekken is uitgelekt voordat de update klaar was. Daardoor is de kans groter dat kwaadwillenden er snel misbruik van maken.
Waarom is dit zo ernstig?
PHP zit onder heel veel websites, vaak zonder dat je het weet. Denk aan sites gebouwd met WordPress, Joomla of Drupal, webwinkels en klantportalen. Volgens de eerste berichten kunnen de lekken in vrijwel alle versies vanaf PHP 5 zitten.
Het Europese computerbeveiligingsteam CERT-EU adviseert organisaties die niet direct kunnen bijwerken, om websites die vanaf internet bereikbaar zijn tijdelijk los te koppelen tot er een oplossing is.
Wat wij doen
Wij volgen dat advies. Websites die bij ons op PHP draaien, hebben we uit voorzorg tijdelijk offline gehaald. Nu de updates beschikbaar zijn, installeren we die en controleren we de sites voordat we ze weer online zetten.
Niet elke website kan direct weer online. Het bijwerken en controleren kan per website meer tijd kosten. We blijven de berichten over eventuele aanvullende updates volgen.
Is jouw website even niet bereikbaar?
Dan is dat een bewuste keuze om je website en je gegevens te beschermen. Liever een paar uur offline dan een gehackte site.
Wat moet jij doen?
- Heb je je website bij Lexact? Dan hoef je niets te doen, wij regelen het.
- Staat je website ergens anders? Vraag je webbouwer of hostingpartij of de site op PHP draait en wanneer de update wordt geïnstalleerd.
- Twijfel je? Bel ons op 050 211 0800, dan kijken we met je mee.
