Kritieke PHP-fout: overheidssites offline in 2026

Een kritieke PHP-kwetsbaarheid die op 21 oktober 2026 bekend werd, dwong overheden in heel Europa en daarbuiten websites offline te halen terwijl zij noodpatches aanbrengen. PHP, de opensourcescripttaal achter ongeveer 70% van de websites met herkenbare talen — waaronder WordPress, Wikipedia en Slack — bevat twee fouten die ongeauthenticeerde remote code execution mogelijk maken. De ernst leidde tot voorzorgsmaatregelen in België, Nederland, Finland, Frankrijk en Duitsland, met onder meer de Nederlandse digitale identiteitsdienst en de haven van Rotterdam tijdelijk buiten gebruik.

Wat is de PHP-kwetsbaarheid en hoe werd ze gevonden?

De twee fouten, geregistreerd als CVE-2026-109618 en CVE-2026-109619, hebben een CVSS-score van 9,2 en treffen PHP-versies 5.4 tot en met 8.5.11. Onderzoekers, bijgestaan door kunstmatige intelligentie, vonden de tien jaar oude lekken; de PHP Foundation noemt ze de belangrijkste die ooit door AI zijn gevonden. Gepatchte versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 verschenen op 21 oktober. Apache met mod_php is extra kwetsbaar, maar ook PHP-FPM, php-cgi, FrankenPHP en LiteSpeed kunnen getroffen zijn. Dit incident onderstreept de risico's van kwetsbaarheden in opensource die jarenlang verborgen blijven.

Welke overheidswebsites werden offline gehaald?

In Nederland gingen Overheid.nl, MijnOverheid.nl, DigiD, de haven van Rotterdam, de KNVB, sites van grote politieke partijen en ziekenhuizen offline. Finland schortte Valtori-diensten op, Frankrijk nam de politieprefectuur van Parijs offline en België en Duitsland volgden met eigen publieke systemen. Denemarken sloot Kombit, Britse gemeenten in Edinburgh, Bristol en Oxford en het Australische Signals Directorate werden kort getroffen. De Amerikaanse NSA en het Britse NCSC drongen erop aan systemen offline te halen als direct patchen niet lukte. Deze golf van stilleggingen toont de kwetsbaarheid van Europese digitale overheidsdiensten.

Hoe patch en bescherm je PHP-systemen?

Beveiligingsdiensten adviseren een gestructureerde aanpak:

1. Inventariseer alle PHP-installaties, inclusief shared hosting en legacy-applicaties.
2. Geef voorrang aan systemen die vanaf internet bereikbaar zijn en onbetrouwbare invoer accepteren.
3. Installeer patches 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of gebruik vendor-backports.
4. Controleer updates van cloudworkloads en container-images.
5. Doorzoek serverlogs op verdachte activiteit of exploitpogingen.
6. Herstel opgeschorte diensten pas na bevestiging.

Dane Knecht van Cloudflare noemde firewallregels een STOPGAP only en benadrukte het belang van noodmatig patchbeheer. Draai ook scanners voor kwetsbaarheden om herstel te bevestigen.

Wereldwijde impact en reacties van experts

Amazon meldde vier dagen vóór de openbaarmaking een exploitpoging op een honeypot, wat erop wijst dat aanvallers de fouten al aftastten. Omdat PHP de basis vormt van WordPress en veel cms'en, waarschuwen experts voor een lange staart van ongepatchte sites op shared hosting. Cyberdiensten in Europa, Australië, Japan en Groot-Brittannië gaven alarmen uit, en AI-ondersteunde aanvallen kunnen de dreiging vergroten. Deze snel evoluerende gebeurtenis test de mondiale coördinatie van incidentrespons.

FAQ

Wat is de PHP-kwetsbaarheid?

Een paar kritieke fouten, CVE-2026-109618 en CVE-2026-109619, die ongeauthenticeerde remote code execution mogelijk maken op servers met PHP.

Welke PHP-versies zijn getroffen?

PHP 5.4 tot en met 8.5.11. Patches zijn beschikbaar in 8.5.12, 8.4.27, 8.3.36 en 8.2.35.

Waarom werden overheidswebsites offline gehaald?

Als voorzorg, omdat de fouten aanvallers vóór het patchen direct toegang konden geven tot bestandssystemen van servers.

Is WordPress getroffen?

Ja, WordPress draait op PHP, dus elke site met een ongepatchte PHP-versie loopt risico tot de serversoftware is bijgewerkt.

Hoe bescherm ik mijn website?

Installeer direct de gepatchte PHP-versie, geef prioriteit aan internetgerichte systemen, controleer logs en gebruik een webapplication firewall als tijdelijk stopmiddel.

Conclusie

De kritieke PHP-kwetsbaarheid van oktober 2026 herinnert eraan dat fundamentele opensourcesoftware verborgen risico's kan dragen. Overheden en bedrijven moeten nu patchen en letten op vervolgaanvallen, want de lange staart van ongepatchte systemen zal maanden aanhouden.