Groot beveiligingslek in PHP: wereldwijd websites in gevaar, ook WordPress en Drupal

De ontwikkelaars van PHP hebben woensdagmiddag de langverwachte beveiligingsupdates uitgebracht. Daarmee zijn de twee kritieke kwetsbaarheden, die wereldwijd voor grote onrust en het preventief uitschakelen van websites zorgen, officieel verholpen. Websitebeheerders wordt dringend geadviseerd om onmiddellijk over te stappen op PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35.

Uit de inmiddels gepubliceerde technische informatie blijkt dat het gevaar bijzonder groot is. Beide kwetsbaarheden maken het mogelijk dat aanvallers onder bepaalde omstandigheden op afstand programmacode uitvoeren zonder eerst te hoeven inloggen. Volgens het PHP-beveiligingsteam lopen vooral servers die gebruikmaken van Apache met mod_php een groot risico. Voor deze configuratie is aangetoond dat een aanval zelfs kan plaatsvinden voordat de eigenlijke websitecode wordt uitgevoerd.

Ook andere veelgebruikte PHP-configuraties, waaronder PHP-FPM en LiteSpeed, worden als potentieel kwetsbaar beschouwd. Daarmee blijft de dreiging relevant voor websites die draaien op WordPress, Drupal, Joomla, Magento en andere PHP-gebaseerde systemen. Voor organisaties die nog oudere PHP-versies gebruiken, is de situatie extra ingewikkeld. PHP 8.1 en ouder ontvangen geen reguliere beveiligingsupdates meer vanuit het PHP-project. Sommige leveranciers bieden hiervoor aangepaste beveiligingspatches aan. Het PHP-team heeft vanwege de ernst van de situatie bovendien uitzonderlijke noodpatches beschikbaar gesteld voor PHP 7.4, 8.0 en 8.1.

Het beveiligingsteam benadrukt dat tijdelijke beschermingsmaatregelen geen volledige veiligheid bieden. Alleen het installeren van de noodzakelijke updates biedt een definitieve oplossing voor deze kwetsbaarheden. Hostingproviders en systeembeheerders moeten daarom zo snel mogelijk actie ondernemen.

Het internet heeft vandaag een serieus probleem. Twee ernstige kwetsbaarheden in PHP, een van de meest gebruikte programmeertalen ter wereld, zorgen ervoor dat organisaties hun websites en online diensten uit voorzorg uitschakelen. Wat begon als een technische beveiligingswaarschuwing, is inmiddels uitgegroeid tot een internationale dreiging voor een groot deel van het internet.

De gevolgen zijn vooral in Nederland al duidelijk zichtbaar. DigiD en MijnOverheid zijn tijdelijk niet bereikbaar, de website van de Tweede Kamer is offline gehaald en ook RTL Nieuws, Tweakers en verschillende andere organisaties hebben maatregelen genomen. Zelfs het Nationaal Cyber Security Centrum (NCSC) en de Autoriteit Persoonsgegevens hebben hun websites uit voorzorg uitgeschakeld.

Maar het probleem is veel groter dan Nederland. PHP wordt wereldwijd gebruikt door miljoenen websites, van kleine blogs en webwinkels tot grote nieuwsplatformen en overheidsdiensten. Ook populaire contentmanagementsystemen zoals WordPress, Drupal, Joomla en Magento zijn afhankelijk van PHP. Daardoor kan de impact van de ontdekte kwetsbaarheden bijzonder groot zijn.

De oorzaak ligt bij twee kritieke beveiligingslekken in PHP, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden hebben een ernstscore van 9,2 op een schaal van 10. Daarmee vallen ze in de categorie kritieke beveiligingsproblemen.

Het grootste gevaar is dat aanvallers mogelijk op afstand eigen programmacode kunnen uitvoeren op kwetsbare servers, zonder daarvoor eerst te hoeven inloggen. In de cybersecuritywereld wordt dat remote code execution genoemd. Wanneer een hacker daarin slaagt, kan hij mogelijk gegevens stelen, websites aanpassen of toegang krijgen tot andere systemen. In het ernstigste geval kan zelfs de volledige controle over een server worden overgenomen.

De exacte technische details zijn nog niet volledig openbaar gemaakt. Wel is duidelijk dat de kwetsbaarheden ernstig genoeg zijn om wereldwijd beveiligingsorganisaties te alarmeren. Het Europese cybersecurityteam CERT-EU en het Australische Cyber Security Centre hebben organisaties inmiddels opgeroepen om hun PHP-systemen te controleren en zich voor te bereiden op onmiddellijke beveiligingsupdates.

Volgens deze organisaties zouden mogelijk alle PHP-versies vanaf PHP 5 getroffen kunnen zijn. Dat is vooralsnog een voorlopige inschatting. Welke versies daadwerkelijk kwetsbaar zijn, moet duidelijk worden zodra de ontwikkelaars van PHP de beveiligingsupdates publiceren.

De grootste zorgen gaan uit naar de enorme hoeveelheid websites die op PHP draaien. WordPress is daarvan het bekendste voorbeeld. Het contentmanagementsysteem vormt de basis van een groot deel van alle websites wereldwijd, van persoonlijke blogs tot grote commerciële platforms.

Maar WordPress is zeker niet het enige systeem dat mogelijk gevaar loopt. Ook Drupal, Joomla en Magento maken gebruik van PHP. Daarnaast draait de programmeertaal achter de schermen bij talloze maatwerkapplicaties, webwinkels, klantportalen en administratieve systemen. Dat betekent overigens niet dat al deze systemen zelf een beveiligingslek bevatten. De kwetsbaarheden bevinden zich in de onderliggende PHP-software. Of een website daadwerkelijk gevaar loopt, hangt onder meer af van de gebruikte PHP-versie en de manier waarop de server is ingericht.

De Drupal Security Team heeft inmiddels zelf een waarschuwing gepubliceerd en websitebeheerders opgeroepen om tijd vrij te maken voor de noodzakelijke PHP-updates. Ook beveiligingsbedrijven die zich richten op WordPress waarschuwen dat een normale update van het contentmanagementsysteem niet voldoende is. Dat laatste is belangrijk. Wie WordPress bijwerkt naar de nieuwste versie of een beveiligingsplugin installeert, heeft daarmee niet automatisch de kwetsbaarheid in PHP opgelost. Daarvoor moet de software op de server zelf worden bijgewerkt. In veel gevallen ligt die verantwoordelijkheid bij de hostingprovider of systeembeheerder.

Wat de situatie extra zorgwekkend maakt, is dat beveiligingsbedrijf Cloudflare inmiddels de eerste aanvalspogingen heeft waargenomen. Cloudflare beschermt wereldwijd miljoenen websites tegen onder meer cyberaanvallen en verdacht internetverkeer. Dane Knecht, technisch directeur van Cloudflare, bevestigt dat het bedrijf de eerste aanvallen ziet opduiken. Cloudflare werkt daarom aan aanvullende beveiligingsregels om misbruik zoveel mogelijk te voorkomen. Tegelijkertijd benadrukt het bedrijf dat deze bescherming slechts tijdelijk is. De onderliggende kwetsbaarheden moeten uiteindelijk worden opgelost met beveiligingsupdates van PHP zelf.

Ook beveiligingsbedrijf Patchstack heeft meldingen ontvangen van aanvalspogingen bij hostingproviders. Daarmee groeit de vrees dat cybercriminelen al actief op zoek zijn naar kwetsbare servers, nog voordat de officiële beveiligingsupdates beschikbaar zijn.

Het Nederlandse NCSC heeft vooralsnog geen actief misbruik bevestigd. Dat betekent niet dat er helemaal geen aanvallen plaatsvinden, maar wel dat er onderscheid moet worden gemaakt tussen pogingen om een kwetsbaarheid te misbruiken en daadwerkelijk succesvolle hacks.

Het bijzondere aan deze kwetsbaarheden is dat ze niet beperkt blijven tot één website, één leverancier of één land. PHP vormt een belangrijk onderdeel van de technische infrastructuur van het internet. Wanneer daarin een ernstig beveiligingsprobleem wordt ontdekt, kunnen de gevolgen zich wereldwijd verspreiden.

Daar komt bij dat veel organisaties niet precies weten welke PHP-versie hun websites gebruiken. Bij grote bedrijven worden websites en applicaties vaak beheerd door verschillende teams of externe leveranciers. Kleinere organisaties zijn meestal afhankelijk van hun hostingprovider. Dat maakt het lastig om snel vast te stellen welke systemen kwetsbaar zijn. Bovendien kunnen oudere applicaties soms niet zomaar worden bijgewerkt naar een nieuwe PHP-versie, omdat bepaalde onderdelen dan niet meer goed functioneren.

Beveiligingsexperts vrezen daarom dat vooral verouderde websites en slecht onderhouden servers een aantrekkelijk doelwit worden voor cybercriminelen. Zodra de technische details van de kwetsbaarheden openbaar worden, kunnen aanvallers gericht zoeken naar systemen die nog niet zijn bijgewerkt.

In Nederland zijn de gevolgen inmiddels bijzonder goed zichtbaar. Onder meer DigiD, MijnOverheid, de Tweede Kamer, RTL Nieuws en Tweakers zijn getroffen door preventieve beveiligingsmaatregelen. Ook bij verschillende onderwijsinstellingen en overheidsorganisaties zijn systemen tijdelijk uitgeschakeld.

Het NCSC heeft zelfs zijn eigen website offline gehaald. Dat is opvallend, omdat juist deze organisatie verantwoordelijk is voor het informeren en adviseren van Nederlandse organisaties over digitale dreigingen. Ook gemeenten en provincies ondervinden problemen. NotuBiz, een systeem dat door ongeveer honderd gemeenten wordt gebruikt voor vergaderingen en het publiceren van bestuurlijke informatie, is tijdelijk uitgeschakeld. Daardoor kunnen onder meer livestreams van vergaderingen en digitale vergaderstukken niet beschikbaar zijn.

Daarnaast hebben mediabedrijven en hostingproviders maatregelen genomen. Bij DPG Media zijn bepaalde abonnementsdiensten tijdelijk niet bereikbaar en persbureau ANP heeft uit voorzorg systemen offline gehaald. Belangrijk is dat deze organisaties niet automatisch zijn gehackt. Veel websites worden bewust uitgeschakeld om te voorkomen dat kwaadwillenden de kwetsbaarheden kunnen misbruiken.

Ook Nederlandse hostingbedrijven grijpen in. Mijndomein heeft woensdagmiddag besloten om websites en diensten van klanten preventief offline te halen. Het bedrijf had eerder op de dag al aanvullende beveiligingsmaatregelen ingevoerd, maar besloot om 13.35 uur alsnog tot een tijdelijke uitschakeling over te gaan.

Volgens de hostingprovider blijven de betreffende diensten offline totdat de noodzakelijke beveiligingsupdates zijn geïnstalleerd. Zodra de updates beschikbaar zijn via PHP en de gebruikte serverbeheersoftware, worden deze zo snel mogelijk doorgevoerd. Dat is een ingrijpende beslissing. Hostingbedrijven doen er normaal gesproken alles aan om websites bereikbaar te houden. Dat een provider ervoor kiest om websites van klanten bewust uit te schakelen, laat zien hoe serieus de dreiging wordt genomen.

Ook andere hostingbedrijven houden de situatie nauwlettend in de gaten. Het is niet uitgesloten dat de komende uren nog meer websites tijdelijk onbereikbaar worden zolang de kwetsbaarheden niet definitief zijn verholpen.

De grootste zorgen gaan inmiddels niet alleen over de websites die offline zijn gehaald, maar vooral over wat er de komende uren en dagen kan gebeuren. Beveiligingsexperts waarschuwen dat cybercriminelen mogelijk massaal op zoek gaan naar kwetsbare servers zodra meer technische informatie over de beveiligingslekken beschikbaar komt.

Daarbij speelt het verschijnen van de beveiligingsupdates een belangrijke rol. Zodra duidelijk wordt welke fouten in PHP zijn gerepareerd, kunnen aanvallers proberen de verschillen tussen oude en nieuwe softwareversies te analyseren. Op die manier kunnen ze achterhalen hoe de kwetsbaarheden precies werken en vervolgens zoeken naar servers die nog niet zijn bijgewerkt.

Dat maakt snelheid essentieel. Grote organisaties beschikken doorgaans over eigen beveiligingsteams die updates snel kunnen doorvoeren. Kleinere bedrijven en verenigingen zijn vaak afhankelijk van hun hostingprovider of externe websitebeheerder. Juist daar kan vertraging ontstaan.

Het Europese CERT-EU adviseert organisaties daarom om kwetsbare websites tijdelijk offline te halen wanneer de noodzakelijke beveiligingsupdates niet direct kunnen worden uitgevoerd. Dat is een vergaande maatregel, maar kan voorkomen dat een beveiligingsprobleem uitgroeit tot een daadwerkelijk datalek of een grootschalige cyberaanval.

De ontwikkelaars van PHP hebben aangekondigd dat woensdag 21 oktober om 16.00 uur Nederlandse tijd beveiligingsupdates beschikbaar moeten komen. Met deze updates moeten de twee kritieke kwetsbaarheden worden verholpen. Tegelijkertijd wordt naar verwachting duidelijk welke PHP-versies daadwerkelijk getroffen zijn en welke nieuwe versies de problemen oplossen. Dat is belangrijke informatie voor hostingproviders, systeembeheerders en organisaties die hun websites weer veilig online willen brengen.

Voor websitebeheerders is het verstandig om direct contact op te nemen met hun hostingprovider of technisch beheerder. Daarbij is vooral belangrijk welke PHP-versie wordt gebruikt, welke tijdelijke beveiligingsmaatregelen inmiddels actief zijn en wanneer de noodzakelijke updates worden geïnstalleerd.

Een gewone update van WordPress, Drupal of Joomla is niet automatisch voldoende. De beveiligingsproblemen bevinden zich immers in PHP zelf. Ook een firewall of beveiligingsplugin kan hooguit tijdelijke bescherming bieden, maar vervangt de noodzakelijke software-update niet.

Dat is op dit moment nog moeilijk te voorspellen. De kwetsbaarheden zijn ernstig, PHP wordt wereldwijd op grote schaal gebruikt en de eerste aanvalspogingen zijn inmiddels gesignaleerd. Tegelijkertijd is nog niet duidelijk hoeveel servers daadwerkelijk kwetsbaar zijn en in hoeverre cybercriminelen erin slagen de beveiligingsproblemen succesvol uit te buiten.

Wat wel duidelijk is, is dat het internet vandaag te maken heeft met een uitzonderlijke beveiligingssituatie. Wereldwijd moeten organisaties controleren of hun websites en applicaties gevaar lopen. In Nederland zien we inmiddels hoe ingrijpend de gevolgen kunnen zijn wanneer belangrijke digitale diensten uit voorzorg worden uitgeschakeld.

De komende uren worden cruciaal. Zodra de beveiligingsupdates beschikbaar komen, begint voor hostingproviders en systeembeheerders een race om hun servers zo snel mogelijk te beschermen. Pas daarna kunnen organisaties hun websites en online diensten weer veilig beschikbaar maken. Voor gewone internetgebruikers is het vooral vervelend dat belangrijke diensten tijdelijk niet bereikbaar zijn. Maar het alternatief, waarbij kwetsbare systemen online blijven en mogelijk worden aangevallen, kan uiteindelijk veel grotere gevolgen hebben.

Dit artikel wordt bijgewerkt zodra er nieuwe informatie beschikbaar is over de PHP-beveiligingsupdates, getroffen softwareversies en de gevolgen voor websites wereldwijd.