Ondernemers met een website of webshop moeten vandaag handelen door een ernstig PHP-lek. De makers van de programmeertaal brengen vanmiddag om 16.00 uur Nederlandse tijd een update uit voor twee kritieke kwetsbaarheden. Het Nationaal Cyber Security Centrum (NCSC) en het Europese CERT-EU adviseren die direct te installeren. Lees update onderaan het artikel.
Wat is er aan de hand met PHP?
PHP is de techniek achter een groot deel van het internet. Ook WordPress, WooCommerce, Magento, Drupal en Joomla draaien erop. Volgens de Britse cyberinstantie NCSC gaat het om circa 70 procent van de websites wereldwijd.
Beide kwetsbaarheden krijgen een score van 9.2 op een schaal van 10. Volgens CERT-EU kunnen aanvallers via de lekken op afstand code uitvoeren op een server, zonder in te loggen. Het NCSC spreekt van een zeer hoog risico op volledige overname van het systeem.
De fout zit in PHP zelf en niet in één specifiek pakket. Daardoor is in principe elke website op een kwetsbare PHP-versie blootgesteld. PHP maakt bij de update bekend welke versies precies getroffen zijn. CERT-EU houdt rekening met alle versies vanaf PHP 5, maar baseert dat op berichten op sociale media.
Technische details al uitgelekt
Het nieuws kwam eerder naar buiten dan de bedoeling was. Kort daarna verschenen online vermeende technische details van de lekken. Dat vergroot de kans dat kwaadwillenden er snel misbruik van maken.
Het NCSC heeft nog geen actief misbruik gesignaleerd. Ook de Australische cyberinstantie ACSC meldt dat. Het beveiligingsbedrijf Patchstack zegt wel meldingen van aanvallen te hebben ontvangen van hostingpartijen. Die meldingen zijn nog niet onafhankelijk bevestigd.
Grote sites uit voorzorg offline
Diverse organisaties nemen het zekere voor het onzekere. MijnOverheid.nl, DigiD, de website van de Tweede Kamer, RTL Nieuws en Tweakers zijn uit voorzorg offline gehaald. Ook de website van het NCSC zelf is tijdelijk uit de lucht.
Wat moet een ondernemer met een PHP-lek doen?
Weet een ondernemer niet zeker of de website op PHP draait, dan kan hij daar beter vanuit gaan. Dat geldt zeker bij WordPress of een webshop. Neem vandaag nog contact op met de hostingpartij of webbouwer en vraag of die de update na 16.00 uur direct installeert.
Lukt dat niet snel, dan raden CERT-EU en het NCSC aan de website tijdelijk offline te halen. Dat kost omzet of zichtbaarheid. Een gehackte website kan echter leiden tot datadiefstal, een beschadigd imago en hoge herstelkosten.
Let ook op oudere websites. Verouderde PHP-versies die niet meer worden ondersteund, krijgen mogelijk geen update. Draait een site op zo’n versie, dan is een upgrade nodig.
Update 21 oktober 2026: beveiligingsupdates PHP beschikbaar
De ontwikkelaars van PHP hebben op 21 oktober beveiligingsupdates uitgebracht voor twee kritieke kwetsbaarheden. De updates zijn beschikbaar voor PHP 8.2, 8.3, 8.4 en 8.5.
Websitebeheerders en hostingproviders wordt geadviseerd de updates zo snel mogelijk te installeren. Het gaat om de volgende versies:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Ondernemers met een website op WordPress, Joomla, Drupal of Magento doen er verstandig aan bij hun hostingprovider te controleren of de beveiligingsupdates zijn uitgevoerd. Websites die nog op een oudere, niet meer ondersteunde PHP-versie draaien, vragen extra aandacht.
Een update van het contentmanagementsysteem is niet voldoende: ook de PHP-installatie op de server moet worden bijgewerkt.
Kernfeiten
- PHP-update: de makers van PHP brengen vandaag om 16.00 uur Nederlandse tijd een update uit voor twee kritieke kwetsbaarheden.
- Score: beide kwetsbaarheden krijgen 9.2 op een schaal van 10.
- Risico: volgens CERT-EU kunnen aanvallers via de lekken op afstand code uitvoeren op een server, zonder in te loggen.
- Bereik: volgens de Britse cyberinstantie NCSC draait circa 70 procent van de websites wereldwijd op PHP.
- Misbruik: het Nederlandse NCSC heeft nog geen actief misbruik gesignaleerd. Patchstack meldt wel aanvalsmeldingen van hostingpartijen, maar die zijn nog niet onafhankelijk bevestigd.
Veelgestelde vragen
Hoe ernstig zijn de twee PHP-kwetsbaarheden?
Beide PHP-kwetsbaarheden krijgen een score van 9.2 op een schaal van 10. Volgens CERT-EU kunnen aanvallers via de lekken op afstand code uitvoeren op een server, zonder in te loggen. Het Nederlandse NCSC spreekt van een zeer hoog risico op volledige overname van het systeem.
Welke websystemen draaien op PHP?
WordPress, WooCommerce, Magento, Drupal en Joomla draaien op PHP. Volgens de Britse cyberinstantie NCSC gaat het om circa 70 procent van de websites wereldwijd.
Wanneer verschijnt de update voor het PHP-lek?
De makers van PHP brengen de update vandaag om 16.00 uur Nederlandse tijd uit. Het Nationaal Cyber Security Centrum (NCSC) en het Europese CERT-EU adviseren die direct te installeren.
Wordt het PHP-lek al misbruikt?
Het Nederlandse NCSC en de Australische cyberinstantie ACSC hebben nog geen actief misbruik van het PHP-lek gesignaleerd. Het beveiligingsbedrijf Patchstack zegt wel meldingen van aanvallen te hebben ontvangen van hostingpartijen. Die meldingen zijn nog niet onafhankelijk bevestigd.