Kritiek lek in PHP: waarom wij websites tijdelijk offline haalden

Op woensdag 21 oktober 2026 waren de websites op onze servers een paar uur offline. Dat was een bewuste keuze. Er waren twee ernstige lekken gevonden in PHP, en wij wilden geen enkel risico nemen. Hieronder lees je wat er aan de hand was en wat wij hebben gedaan.

Wat er aan de hand was

PHP is de programmeertaal waar WordPress, en een groot deel van alle websites, op draait. Op dinsdag 20 oktober kondigde het PHP-team een beveiligingsupdate aan voor twee kritieke lekken. Beide kregen de hoogste categorie: een score van 9,2 op 10.

Via die lekken kon iemand zonder in te loggen code uitvoeren op een server. In het ergste geval neemt een aanvaller dan de hele server over. Het beveiligingsbedrijf Wiz vond de lekken met hulp van AI. Volgens Wiz zaten ze al meer dan tien jaar in PHP zonder dat iemand het merkte.

De update zou woensdag om 16:00 uur verschijnen. Op dat moment wordt ook duidelijk waar de fout precies zit. Kwaadwillenden gaan dan meteen zoeken naar servers die nog niet zijn bijgewerkt. Veel organisaties, van gemeenten tot het RIVM en de ANWB, haalden daarom hun websites uit voorzorg offline. Het Nationaal Cyber Security Centrum benadrukte dat het om een kwetsbaarheid ging, niet om een aanval.

Bron: nu.nl liveblog

Wat wij hebben gedaan

Alle websites naar een actuele PHP-versie. Oudere versies zoals PHP 7.4 en 8.1 krijgen geen beveiligingsupdates meer. Wij hebben woensdagochtend alle websites op onze servers overgezet naar PHP 8.3 of hoger. De meeste draaien op de nieuwste versie, PHP 8.5.

Uit voorzorg offline. Daarna hebben wij de websites tijdelijk offline gehaald, tot de update er was. Bezoekers zagen een onderhoudspagina met de actuele status. Voor Google stond de site op “tijdelijk niet beschikbaar”. Zo blijft je vindbaarheid behouden.

De update geïnstalleerd en getest. Om 16:00 uur verscheen de update: PHP 8.5.12, 8.4.27 en 8.3.36. Wij hebben die direct op onze servers geïnstalleerd, gecontroleerd of alles werkte en de websites weer online gezet.

Er zijn geen aanwijzingen dat websites op onze servers zijn misbruikt.

Wat betekent dit voor jou?

Is je website bij ons ondergebracht, dan hoef je niets te doen. Je website draait weer op een actuele en veilige PHP-versie.

Heb je een website die ergens anders draait? Vraag dan bij je hostingpartij na of de update van 21 oktober is doorgevoerd.

Hoe wij dit soort situaties voor zijn

Wij houden alle websites die wij beheren dag en nacht in de gaten met onze eigen beheertool, Watchtower. Die controleert elke 5 minuten of een site bereikbaar is, elk uur of er iets verandert aan belangrijke bestanden en elke dag de hele site. Bekende lekken in plugins en thema’s zien wij zodra ze bekend zijn. Updates installeren wij met een backup vooraf en een controle achteraf.

Vragen over je website? Neem gerust contact met ons op.