PHP-lek: waarom DigiD offline ging en wat jij nu checkt

Woensdag 21 oktober gingen DigiD, MijnOverheid, de website van de Tweede Kamer en zelfs die van het Nationaal Cyber Security Centrum uit de lucht. Niet door een aanval, maar uit voorzorg. De oorzaak: twee kritieke lekken in PHP, de techniek waar het overgrote deel van alle websites op draait. Ook elke WordPress-site.

Draait jouw website, webshop of klantportaal op PHP? Dan zijn er vandaag vier dingen om na te kijken. En één vraag die verder gaat dan dit lek.

Stand: 22 oktober 2026, 09:45. We werken dit artikel bij als er iets verandert.

Wat is het PHP-lek PHP2Shell?

Via de twee lekken kan iemand van buitenaf code uitvoeren op je webserver, zonder in te loggen. In de praktijk betekent dat: de server overnemen. Het lek zit al sinds PHP 5.4 in de code en staat bekend als PHP2Shell. Het NCSC schat de kans op misbruik en de schade allebei hoog in.

Er staat inmiddels openbare aanvalscode online. Het NCSC zag tot nu toe geen actief misbruik, maar beveiligingsbedrijven Cloudflare en watchTowr meldden op 21 oktober al de eerste aanvalspogingen. Wacht dus niet af.

Is jouw website kwetsbaar? Dit kijk je vandaag na

• Staat de update erop? Veilig zijn PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, of de beveiligingsupdate van je Linux-leverancier. Vraag je webbouwer of hostingpartij of de update erop staat, en sinds wanneer.
• Draait er PHP buiten je website? Denk aan een klantportaal, een contactformulier, een plugin of een oud subdomein dat niemand meer gebruikt. Een vergeten testsite is vaak de zwakste plek.
• Draait er nog PHP 8.1 of ouder? Voor dit lek is er bij uitzondering een noodoplossing, maar die versies krijgen geen gewone updates meer. Plan de overstap, ook als alles nu werkt.
• Stond je site onbeschermd online? Een update sluit de deur, maar zet niemand buiten die al binnen is. Laat nakijken of er sporen zijn van een inbraak.

Overstappen op andere techniek is niet het antwoord

Na zo'n lek is de reflex: weg van PHP. Maar dat is niet de oplossing, want elke techniek kan een lek krijgen. Het belangrijkste is dat je zeker weet wie jouw techniek bijhoudt, en wie op een moment als dit direct bijwerkt of vervangt wat nodig is.

Stel daarom vooraf deze vier vragen:

• Wie houdt de updates van jullie systemen bij?
• Hoe snel staat een kritieke update erop?
• Hoor je het als er iets misgaat, en binnen welke tijd?
• Is er een back-up, en is die ooit teruggezet om te kijken of het werkt?

Dat zijn geen technische vragen. Het is de basis van vertrouwen. Zeker als je met vertrouwelijke gegevens werkt, of steeds meer werk laat automatiseren.

Hoe wij het doen

Wij hebben onze eigen systemen en die van onze klanten nagelopen. Hoe wij omgaan met updates, back-ups en incidenten, en wat we níet beweren, staat op onze veiligheidspagina.

Lees hoe wij met veiligheid omgaan

Wil je dit voor jullie eigen systemen goed geregeld hebben? Plan een kennismaking. Een half uur, vrijblijvend: je spreekt Bas of Roan, en samen kijken we of het past.

Plan een kennismaking

Bronnen: NCSC-advies NCSC-2026-0443 (21 oktober 2026), NOS (21 oktober 2026), Sansec en watchTowr (21 en 22 oktober 2026).