DigiD en MijnOverheid offline door PHP-lekken: wat er aan de hand is en wat u moet doen

Wat er aan de hand is

Op dinsdag 20 oktober publiceerde het PHP-securityteam een vooraankondiging van het PHP-securityteam voor twee ernstige kwetsbaarheden. Beide kregen een CVSS 4.0-score van 9,2 op een schaal van 10. Om misbruik te voorkomen zijn de technische details, de CVE-nummers en de getroffen versies nog niet bekendgemaakt. Die volgen samen met de beveiligingsupdates.

Volgens berichtgeving kan een aanvaller via de lekken, afhankelijk van de configuratie, mogelijk op afstand code uitvoeren op een kwetsbare server. Dat is de zwaarste categorie die er bestaat: wie code kan uitvoeren op uw server, kan in principe bij alles wat daarop staat. Daarom kozen veel organisaties ervoor om niet te wachten en hun publieke websites tijdelijk uit de lucht te halen tot de update er is.

Woensdagochtend gingen onder meer de websites van DigiD en MijnOverheid, de Tweede Kamer, de Autoriteit Persoonsgegevens, het NCSC, tientallen gemeenten, ziekenhuizen, onderwijsinstellingen en vervoerders offline. De bereikbaarheid kan gedurende de dag wisselen, omdat organisaties systemen stap voor stap controleren en weer aanzetten.

De tijdlijn tot nu toe

1. Dinsdag 20 oktober

   Het PHP-securityteam kondigt twee kritieke kwetsbaarheden aan en adviseert iedereen om zich voor te bereiden op een update.

2. Woensdag 21 oktober, ochtend

   Overheidsdiensten en andere organisaties halen uit voorzorg websites offline, waaronder DigiD en MijnOverheid.

3. Woensdag 21 oktober, 16.00 uur

   De geplande release van de beveiligingsupdates, met de details over getroffen versies (14.00 uur UTC).

4. Daarna

   Organisaties installeren de update, controleren hun systemen en zetten websites weer aan. Dat kan per organisatie uren duren.

Wat het betekent als u DigiD of MijnOverheid gebruikt

Volgens Logius, de beheerder van DigiD, ging vooral de DigiD-website offline en bleef inloggen met DigiD bij verschillende instanties mogelijk. Tegelijk meldden gebruikers dat inloggen bij sommige diensten niet lukte. Volg voor de actuele stand de storingspagina van Logius of de site van de instantie waar u wilt inloggen.

Uw gegevens zijn niet automatisch in gevaar. Dat een dienst offline gaat, is juist een voorzorgsmaatregel om misbruik te voorkomen. U hoeft uw wachtwoord niet standaard te wijzigen. Moet u iets dringends regelen, zoals een aangifte of een aanvraag met een deadline, probeer het dan later op de dag opnieuw.

Hieronder ziet u live of de websites van DigiD, MijnOverheid en andere organisaties nu bereikbaar zijn. Voor de bredere achtergrond, ook buiten de overheid, leest u het overzicht van het PHP-lek van oktober 2026.

Wat u moet doen als uw website op PHP draait

Veel bedrijfswebsites, webshops en klantportalen draaien op PHP, vaak zonder dat de eigenaar dat weet. WordPress, Drupal, Magento, Laravel en de meeste klassieke hostingpakketten gebruiken het. Ook als u zelf niets met de server doet, is het verstandig om vandaag na te gaan hoe het bij u zit.

1. Breng in kaart wat u heeft

   Welke websites, portalen en interne systemen draaien op PHP, en welke daarvan zijn direct vanaf internet bereikbaar? Vergeet testomgevingen en oude sites niet.

2. Vraag uw hostingpartij of beheerder

   Welke PHP-versie draait er, wanneer installeren zij de update en welke tijdelijke bescherming is er tot die tijd, bijvoorbeeld een web application firewall?

3. Installeer de update zodra die er is

   Na de release van 16.00 uur zo snel mogelijk. Let op: een update van WordPress of plugins vervangt de update van PHP op de server niet.

4. Controleer daarna op verdachte activiteit

   Kijk in de logbestanden naar ongebruikelijke verzoeken, nieuwe bestanden of accounts. Het Britse NCSC adviseert om PHP-systemen te inventariseren en te controleren op verdacht gedrag.

Moet u uw site uit voorzorg offline halen, zoals de overheid deed? Dat hangt af van wat er op de server staat. Verwerkt uw platform persoonsgegevens, betalingen of toegang tot interne systemen, dan is tijdelijk offline gaan of de toegang beperken tot de update verdedigbaar. Een eenvoudige informatieve site zonder gevoelige gegevens kan meestal online blijven, zolang u de update direct installeert. Het Britse NCSC raadt daarnaast aan om de update direct door te voeren zodra hij beschikbaar is.

Waarom dit vaker gebeurt, en hoe u voorbereid bent

Kritieke lekken in veelgebruikte software zijn geen uitzondering. Wat dit soort momenten bepaalt, is hoe snel u kunt handelen. Organisaties die weten welke software ze draaien, wie die beheert en hoe snel een update live kan, hebben vandaag een gewone werkdag. Organisaties met verouderde of slecht gedocumenteerde systemen staan nu onder druk.

Drie dingen maken het verschil. Een actueel overzicht van uw systemen en de versies waarop ze draaien. Een duidelijke afspraak met uw hostingpartij of ontwikkelaar over wie updates installeert en hoe snel. En software die niet zo verouderd is dat een update iets breekt. Lees meer over wat onderhoud van software kost en wanneer verouderde software een risico wordt.