DigiD en MijnOverheid offline door PHP-lek. En jouw WordPress website?

Wie gisteren 21 oktober wilde inloggen bij DigiD of MijnOverheid, kreeg een foutmelding. Ook de website van de Tweede Kamer, de nieuwssite van RTL, Tweakers en zelfs het Nationaal Cyber Security Centrum gingen uit voorzorg offline. Een storing? Nee: de oorzaak zit in PHP, de programmeertaal waar het grootste deel van het internet op draait.

Omdat ook WordPress op PHP draait, gaat dit nieuws niet alleen over de overheid en grote mediabedrijven. Heb je een WordPress-website, dan is het goed om te weten wat er speelt en wat je zelf kunt doen.

Wat is er precies aan de hand?

Op 20 oktober kondigden de makers van PHP een spoedupdate aan voor twee kritieke lekken, bekend als CVE-2026-109618 en CVE-2026-109619. Beide krijgen een score van 9,2 op een schaal van 10. Dat is hoog: via zo’n lek kan een kwaadwillende mogelijk op afstand code uitvoeren op een server, zonder eerst in te hoeven loggen.

De bekendmaking stond eigenlijk later gepland, maar ironisch genoeg lekte informatie over de lekken voortijdig uit. Daarom werd de update naar voren gehaald, naar woensdag 21 oktober om 16.00 uur. Tot die tijd is er geen officiële oplossing. Sommige organisaties kiezen dus de veilige route: de stekker eruit tot de patch er is.

Waarom is dit zo groot nieuws?

PHP is overal. Van alle websites waarvan de programmeertaal bekend is, draait ongeveer 69 procent op PHP. Een lek in PHP is dus geen probleem van één website, maar van een flink deel van het internet tegelijk.

Daar komt bij: de lekken zitten mogelijk al in PHP sinds versie 5. Alleen PHP 8.2 tot en met 8.5 krijgen nog officiële updates. Draait een website op PHP 8.1 of ouder? Dan komt er geen patch, terwijl de site wel kwetsbaar kan zijn. En dat zijn er meer dan je denkt: ruim een derde van alle PHP-websites draait nog op PHP 7 of zelfs PHP 5.

Is er al ingebroken?

Op het moment dat wij dit artikel schrijven, nog niet. Het NCSC heeft nog geen actief misbruik gezien. Dat grote websites offline gingen, betekent dus niet dat ze gehackt zijn, maar dat ze het zekere voor het onzekere nemen.

Maar: zodra een patch uitkomt, kunnen criminelen precies zien wat er gerepareerd is. Het Nederlandse beveiligingsbedrijf Sansec verwacht daarom massale aanvallen binnen een kwartier nadat de update openbaar is. Snel updaten is dus belangrijk.

Wat betekent dit voor jouw bedrijf?

Herkenbaar: je website staat al jaren online, werkt prima en niemand kijkt er nog echt naar om. Wie de hosting regelt, op welke PHP-versie de site draait of wanneer de laatste update was? Geen idee. In de praktijk zien we bij Kwaaijongens regelmatig dat juist die websites achterlopen. Niet omdat iemand slordig is, maar omdat een website die werkt geen aandacht vraagt. Tot er zo’n lek voorbijkomt.

Checklist: dit doe je nu

1. Zoek uit wie je website host en beheert. Vraag die partij of de PHP-update al is doorgevoerd.
2. Check op welke PHP-versie je website draait. Is dat 8.1 of ouder? Plan dan zo snel mogelijk een upgrade.
3. Werk ook WordPress, je thema en je plug-ins bij. Een website is zo sterk als zijn zwakste schakel.
4. Zorg voor een recente back-up, zodat je altijd terug kunt.
5. Trap niet in snelle oplossingen. Onofficiële “fix”-plug-ins of stukjes code van internet maken het vaak erger. De enige echte oplossing is PHP updaten.

Laat het over aan Kwaaijongens

Een lek als dit laat zien dat hosting meer is dan een plek waar je website staat. De server, PHP, WordPress, je thema en je plug-ins: het moet allemaal up-to-date blijven om je website veilig te houden. Goede hosting gaat daarom altijd samen met goed onderhoud, en dat begint niet pas als het misgaat. Wie updates structureel bijhoudt, hoeft bij een lek als dit niet eerst uit te zoeken waar de website draait en wie er verantwoordelijk is, maar kan meteen handelen.

Bij ons hosting en onderhoud houden we de techniek achter je website voor je bij, zodat jij er niet wakker van hoeft te liggen. Twijfel je of jouw website veilig gehost wordt, of weet je niet eens op welke PHP-versie hij draait? We kijken graag met je mee. Bel ons op 085-3307500 of neem contact op via kwaaijongens.nl, dan checken we het voor je.