Het PHP-lek van 21 oktober in gewone taal: wat er gebeurde en wat je nu doet

Wat is PHP?

PHP is een programmeertaal die op de server draait, niet in je browser. Vergelijk een website met een restaurant. Wat jij op je scherm ziet, is het bord dat op tafel komt. PHP is de keuken. Elke keer dat iemand een pagina opent, maakt de keuken die pagina klaar: de tekst uit de database, het menu, het contactformulier.

WordPress draait op PHP. Veel webwinkels, klantportalen en intranetten ook. Heb je een WordPress-site, dan heb je dus PHP, ook als je dat woord nog nooit hebt gezien.

Wat er misging

Op 20 oktober kondigde het PHP-team aan dat er de volgende dag een beveiligingsupdate zou komen voor twee kritieke kwetsbaarheden. CERT-EU, de cyberdienst van de Europese instellingen, waarschuwde dat ze kunnen leiden tot het overnemen van een server op afstand. In de restaurantvergelijking: iemand van buiten kan de keuken binnenlopen en daar doen wat hij wil, zonder in te loggen.

Volgens het NCSC was daar één eenvoudig verzoek aan de server voor nodig. De gevolgen kunnen groot zijn: een server die wordt overgenomen, gegevens die uitlekken, of een website waarop niemand meer kan inloggen.

Het lastige was de volgorde. De aankondiging kwam een dag eerder dan de update. Iedereen wist dus dat er iets ernstigs was, maar kon het nog niet oplossen. Volgens het NCSC was er op 21 oktober al code openbaar die laat zien hoe het lek werkt, maar had het NCSC nog geen actief misbruik gezien.

Op 21 oktober bracht PHP de gecorrigeerde versies uit: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder kwam er geen gewone update. Het PHP-team leverde voor 7.4, 8.0 en 8.1 alleen een minimale correctie voor wie PHP zelf samenstelt. Voor de meeste websites betekent dat: overstappen naar een nieuwere versie.

Niet alleen websites

Het NCSC wees op iets wat in het nieuws onderbelicht bleef. PHP zit niet alleen in websites. Het zit ook in netwerkapparatuur, in dashboards van slimme apparaten en in vrijwel alle soorten beheerschermen die je via de browser opent om de instellingen van een apparaat te wijzigen. Denk aan de beheerpagina van een router, een opslagapparaat of een camerasysteem.

Bij zulke apparaten werk je PHP niet zelf bij. Je bent afhankelijk van de leverancier, die een nieuwe versie van de software moet uitbrengen. Staat zo’n beheerscherm open op internet, dan is dat het eerste dat je dichtzet.

Waarom websites offline gingen

CERT-EU gaf een duidelijk advies: kun je niet direct bijwerken, haal je internetapplicaties dan van het netwerk tot de update er is. Het NCSC adviseerde om per systeem dat PHP gebruikt en aan internet hangt een afweging te maken, inclusief de vraag of je het uitzet.

Veel organisaties kozen voor zekerheid. Het NCSC haalde ncsc.nl offline. Lokale media meldden dat onder meer gemeenten in de Zaanstreek hun website uit voorzorg uit de lucht haalden. Een website die een paar uur offline is, is vervelend. Een server die is overgenomen, is veel erger.

Waarom een plugin-update niet genoeg was

Veel mensen kennen het rode bolletje in WordPress: er zijn updates voor je thema of plugins. Die updates zijn belangrijk, maar ze lossen dit lek niet op. Het lek zat niet in WordPress, maar in PHP zelf, de keuken onder het restaurant. Die keuken werkt de hostingpartij bij, niet de website.

Daarom ging de vraag op 21 oktober niet over plugins, maar over de server: wie beheert die, en hoe snel na de update is hij bijgewerkt?

Wat wij die dag deden

Voor klanten van wie wij de website beheren, werken we samen met vaste websitepartners die de servers in de gaten houden. Zij hebben de servers vóór de update tijdelijk extra beveiligd, zodat de websites online konden blijven. Na de release is de update dezelfde dag doorgevoerd. Klanten die ons vroegen of hun website uit de lucht was, hoorden van ons dat het niet nodig was, en waarom. Al vóór de update waarschuwden we op LinkedIn dat een plugin-update niet genoeg was.

Bij onze eigen websites liepen we hetzelfde lijstje af. We maakten een verse back-up en zetten die buiten de server. We keken welke onderdelen PHP echt nodig hebben, en zetten PHP uit op onderdelen die alleen een vast bestand tonen. Wat niet draait, hoeft ook niet bijgewerkt te worden. We controleerden de versie na de update zelf, in plaats van op een melding te vertrouwen. Onze eigen websites draaien op de gecorrigeerde versie.

Vijf vragen voor wie je website beheert

Je hoeft geen programmeur te zijn om dit goed te regelen. Je moet wel het antwoord weten op deze vijf vragen:

1. Op welke PHP-versie draait mijn website? In WordPress staat het onder Hulpmiddelen, Sitegezondheid, tabblad Info, onderdeel Server.

2. Wie werkt de server bij, en hoe snel? Bij de meeste websites is dat de hostingpartij. Weet je niet wie dat is, dan is dat het eerste dat je uitzoekt.

3. Draai ik op een versie die nog updates krijgt? Voor PHP 8.1 en ouder kwam er geen gewone update. Zit je daarop, dan is overstappen nodig, niet wachten.

4. Staat mijn back-up buiten de server? Een back-up die op dezelfde server staat als de website, verdwijnt mee als die server wordt overgenomen of uitvalt.

5. Welke websites en onderdelen heb ik eigenlijk? Een oude actiepagina, een vergeten testsite, een klantportaal. Wat je niet kent, werkt niemand bij.

Wat de Security Check wel en niet ziet

De Security Check kan niet vaststellen of jouw website is bijgewerkt. Dat zie je alleen in je website of bij je hostingpartij.

Wat hij wel doet: in dertig seconden de buitenkant van je domein meten, zonder account. Hij kijkt naar je certificaten, je beveiligingsheaders en je mail- en DNS-instellingen. Op een dag als 21 oktober kijk je daar ook naar, want een verlopen certificaat of een ontbrekende beveiligingsheader is precies het soort ding dat je vindt als je je websites één voor één nagaat. En hij kijkt of je server aan iedereen vertelt welke software hij draait. Staat er in de headers bijvoorbeeld een PHP-versie, dan meldt de Security Check dat. Een aanvaller ziet dan namelijk meteen welke bekende lekken het proberen waard zijn.

Een website die wordt bijgehouden

De meeste websites worden gebouwd en daarna vergeten. Tot een dag als 21 oktober. Wij regelen de bouw en het beheer van websites samen met onze websitepartners: de server wordt bijgewerkt, de back-up staat buiten de server, en bij een lek hoor je van ons wat er speelt voordat je het in de krant leest.

Wil je weten hoe jouw website ervoor staat, of wil je een website die op deze manier wordt beheerd? Plan een gesprek. We werken zelf onder ISO 27001:2023, ISO 9001:2015 en NEN 7510:2024.

Veelgestelde vragen

Mijn website bleef online. Is hij dan veilig?

Niet vanzelf. Online blijven was een keuze, geen bewijs. Je website is pas bijgewerkt als de server op 8.5.12, 8.4.27, 8.3.36 of 8.2.35 draait, of op een nieuwere versie in dezelfde reeks.

Moet ik zelf iets doen?

Vraag aan wie je website beheert op welke versie hij nu draait. Bij een WordPress-site kun je het ook zelf zien in Sitegezondheid.

Is het lek al misbruikt?

Op 21 oktober meldde het NCSC dat er voorbeeldcode openbaar was, maar dat het nog geen actief misbruik had gezien. Dat kan veranderen. Daarom is bijwerken de enige echte oplossing.

Helpt een beveiligingsplugin in WordPress?

Niet tegen dit lek. Het zat in PHP zelf. Een plugin draait bovenop PHP en kan de keuken eronder niet repareren.

Geldt dit ook voor mijn router of opslagapparaat?

Dat kan. Volgens het NCSC zit PHP ook in netwerkapparatuur en in beheerschermen die je via de browser opent. Kijk of de leverancier een update heeft uitgebracht, en zorg dat het beheerscherm niet open op internet staat.

Mijn website draait op PHP 8.1 of ouder. Wat nu?

Laat hem overzetten naar een versie die nog updates krijgt. Maak eerst een back-up en test daarna of je thema en plugins goed blijven werken.

Conclusie

Het PHP-lek liet zien dat een website niet klaar is als hij live staat. Iemand moet de server bijhouden, en jij moet weten wie dat is. De organisaties die op 21 oktober rustig bleven, hadden het antwoord op die vraag al vóór 16:00.

Weet je het antwoord niet, of wil je dat iemand het voor je bijhoudt? Plan een gesprek met ALTA-ICT.

Bronnen

PHP, News Archive 2026: aankondiging van 20 oktober en beveiligingsadvies van 21 oktober.
CERT-EU, Security Advisory 2026-018.
NCSC via Rijksoverheid, Ernstige kwetsbaarheden in PHP (21 oktober 2026).
NCSC, Security Advisories: websitebericht “Ernstige kwetsbaarheden in PHP: bereid je voor op patchen” (21 oktober 2026).
Geraadpleegd op 22 oktober 2026.