Groot beveiligingslek in PHP: wereldwijd websites in gevaar, ook WordPress en Drupal

In dit artikel:

Twee kritieke beveiligingslekken in PHP brengen wereldwijd miljoenen websites en online diensten in gevaar. De kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619, hebben een ernstscore van 9,2 op 10. Aanvallers zouden op afstand eigen code kunnen uitvoeren zonder eerst in te loggen. Daarmee kunnen zij mogelijk gegevens stelen, websites aanpassen of volledige controle over servers krijgen.

Omdat PHP de basis vormt van veel websites en applicaties, kunnen ook systemen die draaien op WordPress, Drupal, Joomla en Magento risico lopen. Het probleem zit in de PHP-software zelf en niet automatisch in deze contentmanagementsystemen. Een gewone update van bijvoorbeeld WordPress of de installatie van een beveiligingsplugin is daarom niet voldoende; de PHP-versie op de server moet worden bijgewerkt. Welke versies precies kwetsbaar zijn, moet duidelijk worden zodra de officiële patches verschijnen. Voorlopig wordt rekening gehouden met mogelijke kwetsbaarheid van alle PHP-versies vanaf versie 5.

In Nederland zijn uit voorzorg verschillende belangrijke websites en diensten offline gehaald. DigiD, MijnOverheid, de Tweede Kamer, RTL Nieuws, Tweakers, het NCSC en de Autoriteit Persoonsgegevens namen maatregelen. Ook gemeenten, onderwijsinstellingen, mediabedrijven en hostingproviders schakelden systemen tijdelijk uit. Daardoor zijn onder meer sommige abonnementsdiensten, gemeentelijke vergaderstreams en digitale vergaderstukken niet beschikbaar. Het offline halen betekent niet dat deze organisaties zijn gehackt; zij proberen misbruik juist te voorkomen.

De internationale cybersecurityorganisaties CERT-EU en het Australische Cyber Security Centre adviseren organisaties hun PHP-systemen direct te controleren en zich voor te bereiden op updates. Hostingprovider Mijndomein haalde woensdagmiddag websites van klanten preventief offline totdat de benodigde patches beschikbaar zijn. Ook andere providers volgen de situatie nauwlettend.

De dreiging is extra urgent omdat Cloudflare en Patchstack al aanvalspogingen hebben gemeld. Cloudflare-directeur Dane Knecht zegt dat het bedrijf aanvullende regels inzet om misbruik tijdelijk te blokkeren. Het Nederlandse NCSC heeft vooralsnog geen succesvol misbruik bevestigd, maar waarschuwt dat het verschil tussen aanvalspogingen en geslaagde hacks belangrijk is. Zodra de technische details openbaar worden, kunnen cybercriminelen gericht zoeken naar servers die nog niet zijn bijgewerkt.

De PHP-ontwikkelaars verwachten woensdag 21 oktober om 16.00 uur Nederlandse tijd beveiligingsupdates te publiceren. Die moeten de lekken verhelpen en duidelijk maken welke versies precies getroffen zijn. Daarna begint voor hostingproviders en systeembeheerders een race om servers te patchen en diensten veilig weer online te brengen. Organisaties die niet direct kunnen updaten, krijgen het advies hun websites tijdelijk uit te schakelen. Vooral verouderde applicaties, slecht onderhouden servers en organisaties die afhankelijk zijn van externe beheerders kunnen daarbij vertraging oplopen.