PHP-lek oktober 2026: welke websites offline zijn en wat er aan de hand is
Op woensdag 21 oktober 2026 haalden in Nederland meer dan honderd organisaties websites uit voorzorg offline: van DigiD en MijnOverheid tot gemeenten, ziekenhuizen, universiteiten, vervoerders, RTL en voetbalclubs. De oorzaak is geen storing, maar twee kritieke beveiligingslekken in PHP, de programmeertaal waar het grootste deel van het web op draait. Hier leest u wat er bekend is, welke sites nu offline zijn en wat u moet doen.
Twee kritieke lekken in PHP zijn de reden dat zoveel websites offline zijn. De beveiligingsupdate staat gepland voor 21 oktober om 16.00 uur. Tot die tijd halen organisaties hun sites uit voorzorg uit de lucht.
Hieronder ziet u live welke bekende websites nu niet bereikbaar zijn, de tijdlijn, welke organisaties geraakt zijn en wat u moet doen als gebruiker of als eigenaar van een website.
Live: welke websites nu offline zijn
Dit overzicht meet elke 2 minuten of de websites van een reeks organisaties bereikbaar zijn. Zo ziet u welke sites nog uit de lucht zijn en wanneer ze terugkomen. De lijst bevat organisaties die in de berichtgeving werden genoemd, plus een paar grote overheidssites ter vergelijking.
Het overzicht wordt opgehaald.
We meten vanaf een server van Appfront of de publieke homepage laadt. Inloggen met DigiD testen we niet. Een pagina die alleen een onderhoudsmelding toont, telt als niet normaal bereikbaar. Staat uw eigen platform op PHP en twijfelt u? Laat een developer meekijken.
Wat er aan de hand is
- Het PHP-securityteam kondigde op 20 oktober twee kritieke lekken aan, elk met een ernstscore van 9,2 op 10.
- Volgens CERT-EU gaat het om CVE-2026-109618 en CVE-2026-109619, ook wel PHP2Shell genoemd.
- Het NCSC noemt elk systeem met PHP dat vanaf internet bereikbaar is vermoedelijk kwetsbaar.
- De update verschijnt op 21 oktober om 16.00 uur Nederlandse tijd. Voor PHP 8.1 en ouder komt geen update.
- Offline halen is voorzorg. Er is geen Nederlandse organisatie bekend waar via dit lek is ingebroken.
Op dinsdag 20 oktober publiceerde het PHP-securityteam een aankondiging van het PHP-securityteam van twee kritieke kwetsbaarheden, beide met een CVSS 4.0-score van 9,2. De technische details blijven tot de release geheim, maar volgens beveiligingsonderzoekers kan een aanvaller via de lekken op afstand code uitvoeren op een kwetsbare server. Dat is de zwaarste categorie: wie code kan uitvoeren, kan in principe bij alles wat op die server staat.
Het Europese CERT-EU noemde dinsdagavond de nummers CVE-2026-109618 en CVE-2026-109619 en schreef dat mogelijk alle PHP-versies vanaf PHP 5 geraakt zijn. Het advies: systemen die vanaf internet bereikbaar zijn isoleren als direct bijwerken niet kan. Dat is precies wat veel Nederlandse organisaties woensdagochtend deden.
Over misbruik lopen de berichten uiteen. Cloudflare meldde woensdagochtend volgens Reuters de eerste aanvallen te zien en zette extra filterregels aan, ook voor gratis klanten. Het NCSC liet rond 13.00 uur weten nog geen actief misbruik te hebben gezien. Een bevestigde inbraak via dit lek is bij het schrijven van dit artikel niet bekend.
De tijdlijn
- Dinsdag 20 oktober
Het PHP-securityteam kondigt twee kritieke lekken aan en een beveiligingsupdate voor woensdag 14.00 uur UTC.
- Dinsdag 20 oktober, avond
CERT-EU publiceert een advies met de CVE-nummers en raadt aan internetgerichte systemen te isoleren.
- Woensdag 21 oktober, ochtend
Cloudflare meldt eerste aanvallen en zet filterregels in. De Tweede Kamer, NotuBiz en delen van SURF gaan offline.
- Woensdag 21 oktober, rond 11.00 uur
DigiD, MijnOverheid, RTL, Tweakers, het NCSC, de Autoriteit Persoonsgegevens en raadsinformatie van ongeveer honderd gemeenten zijn uit de lucht.
- Woensdag 21 oktober, middag
Provincies, ziekenhuizen, hogescholen, vervoerders, voetbalclubs en politieke partijen volgen. Het NCSC ziet nog geen actief misbruik.
- Woensdag 21 oktober, 16.00 uur
De geplande release van de beveiligingsupdates. Daarna installeren organisaties de update en komen sites stap voor stap terug.
Dit artikel is bijgewerkt op 21 oktober rond 14.30 uur, vóór de release. Welke PHP-versies precies kwetsbaar zijn en welke versie de oplossing bevat, maakt het PHP-securityteam pas bij de release bekend. Onderzoekers verwachten de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35, maar dat is nog niet bevestigd.
Welke organisaties zijn geraakt
De lijst hieronder is samengesteld uit berichtgeving van onder meer NOS, het NOS-liveblog, RD/ANP en regionale omroepen. Hij is niet volledig: volgens Omroep West ging het alleen al in de regio Haaglanden om 25 gemeenten, en volgens RTV Utrecht waren in Utrecht 21 gemeentewebsites helemaal onbereikbaar. Niet elke organisatie haalde alles offline. Bij sommige bleef inloggen of een deel van de dienstverlening werken.
Organisaties die websites offline haalden, volgens de berichtgeving van 21 oktober
| Sector | Organisaties | Bron |
|---|---|---|
| Rijksoverheid en toezicht | DigiD, MijnOverheid, Tweede Kamer, NCSC, Autoriteit Persoonsgegevens | NOS |
| Provincies en waterschappen | Provincies Groningen, Friesland en Gelderland, Unie van Waterschappen | NOS-liveblog |
| Gemeenten | Raadsinformatie van ongeveer honderd gemeenten via NotuBiz; websites van onder meer Purmerend, Den Haag, Leiden, Delft, Zoetermeer, Eindhoven, Moerdijk, Drimmelen, Maastricht, Venlo, Heerlen en Sittard-Geleen | NOS, RegioPurmerend, Omroep West, Omroep Brabant, L1 |
| Onderwijs | TU Delft, De Haagse Hogeschool, Zuyd Hogeschool, Summa College, delen van SURF en de Universiteit Twente | Omroep West, L1, Omroep Brabant, RD/ANP |
| Zorg | Maastricht UMC+, Jeroen Bosch Ziekenhuis, ETZ, Bravis, Haaglanden MC, St. Antonius Ziekenhuis en meer | RD/ANP, Omroep Brabant, Omroep West, RTV Utrecht |
| Vervoer | EBS, RET, Maastricht Aachen Airport, ANWB. NS verwachtte geen gevolgen | RegioPurmerend, L1, Omroep West, RD/ANP |
| Media, sport en overig | RTL, Tweakers, KNVB, FC Twente, Willem II, Fortuna Sittard, ADO Den Haag, FC Groningen, Hoogvliet, WML en een reeks politieke partijen | NOS, NOS-liveblog, Omroep West, L1 |
Waarom dit lek zoveel websites raakt
PHP is al ruim twintig jaar de standaardtaal voor websites. WordPress, Drupal, Joomla, Magento en Laravel draaien erop, net als ontelbare maatwerkportalen. Volgens W3Techs gebruikt 69 procent van de websites waarvan bekend is in welke taal ze draaien PHP. Een kritiek lek in PHP raakt daardoor niet één leverancier, maar het fundament onder een groot deel van het web.
Daar komt bij dat veel van die sites op een versie draaien die al geen updates meer krijgt. Die sites kunnen na 16.00 uur niet simpelweg worden bijgewerkt. Ze moeten eerst overstappen naar een ondersteunde versie, en dat kost tijd.
Welke PHP-versies websites gebruiken, als aandeel van alle PHP-sites (W3Techs, 21 oktober 2026, afgerond)
| PHP-versie | Aandeel | Status |
|---|---|---|
| PHP 8.2 tot en met 8.5 | 51% | Ondersteund, krijgt naar verwachting een update |
| PHP 8.0 en 8.1 | 14% | Niet meer ondersteund, geen update |
| PHP 7 | 27% | Niet meer ondersteund sinds 2022 of eerder |
| PHP 5 en ouder | 8% | Al jaren niet meer ondersteund |
De percentages zijn berekend uit de cijfers van W3Techs over PHP-versies en de verdeling binnen PHP 8. De einddata per versie staan in het overzicht van ondersteunde versies op php.net. Samen betekent het dat bijna de helft van de PHP-sites op een versie draait die bij dit lek geen beveiligingsupdate krijgt. Volgens Tenable schatten onderzoekers het aantal mogelijk kwetsbare servers wereldwijd op meer dan 1,3 miljoen.
Wat u moet doen
Wat u doet, afhankelijk van uw rol
| U bent | Vandaag | Na de update |
|---|---|---|
| Gebruiker van een dienst zoals DigiD | Later opnieuw proberen. Niet klikken op links in berichten over de storing | Gewoon weer inloggen via het bekende webadres |
| Eigenaar van een website of webshop | PHP-versie opzoeken en uw hostingpartij naar de planning vragen | Controleren of de nieuwe versie actief is en alles werkt |
| Beheerder of ontwikkelaar | Systemen inventariseren, bescherming aanzetten, update klaarzetten | Update installeren, PHP-FPM herstarten, logbestanden nalopen |
Heeft u een eigen website, lees dan zo controleert u of uw website kwetsbaar is. Daar staan de vier manieren om uw PHP-versie te vinden en een beslishulp voor de vraag of u uw site tijdelijk offline moet halen. Gebruikt u WordPress, lees dan ook wat het lek betekent voor WordPress-sites. Wilt u weten wat de storing betekent als u wilt inloggen bij de overheid, lees dan het artikel over DigiD en MijnOverheid.
Rond grote storingen sturen oplichters berichten met een link om opnieuw in te loggen of een account te herstellen. Klik daar niet op. Ga altijd zelf naar het bekende webadres van de dienst.
de ernstscore op 10 (CVSS 4.0) van elk van de twee lekken, volgens het PHP-securityteam.
van de websites met een bekende servertaal draait op PHP, volgens W3Techs.
van de PHP-sites draait op een versie die geen update meer krijgt, berekend uit W3Techs.
het geplande moment van de beveiligingsupdate op 21 oktober (14.00 uur UTC).
Veelgestelde vragen
Over het PHP-lek van oktober 2026.
Wat is het PHP-lek van oktober 2026?
Twee kritieke kwetsbaarheden in PHP, de programmeertaal achter een groot deel van alle websites. Ze werden op 20 oktober 2026 aangekondigd, kregen elk een ernstscore van 9,2 op 10 en worden ook PHP2Shell genoemd. Volgens CERT-EU gaat het om CVE-2026-109618 en CVE-2026-109619.
Welke websites zijn offline?
Onder meer DigiD, MijnOverheid, de Tweede Kamer, het NCSC, de Autoriteit Persoonsgegevens, tientallen gemeenten, ziekenhuizen, hogescholen, vervoerders als EBS en RET, RTL en voetbalclubs. Het live overzicht bovenaan dit artikel laat zien welke sites nu niet bereikbaar zijn.
Waarom halen organisaties hun website offline?
Uit voorzorg. Zolang de update er niet is, is een server met PHP die vanaf internet bereikbaar is mogelijk kwetsbaar. Door de site offline te halen, kan niemand het lek gebruiken.
Wordt het lek al misbruikt?
De berichten lopen uiteen. Cloudflare meldde woensdagochtend eerste aanvallen te zien, het NCSC zag rond 13.00 uur nog geen actief misbruik. Een bevestigde inbraak via dit lek is niet bekend.
Wanneer zijn de websites weer online?
De update verschijnt op 21 oktober om 16.00 uur. Daarna moeten organisaties de update installeren en hun systemen controleren. Hoe lang dat duurt, verschilt per organisatie.
Moet ik als website-eigenaar iets doen?
Ja, als uw site op PHP draait. Zoek uw PHP-versie op, vraag uw hostingpartij wanneer zij de update installeren en controleer daarna of alles werkt. Draait u op PHP 8.1 of ouder, dan komt er geen update en moet u overstappen.
Verder lezen
Zo controleert u uw website
Uw PHP-versie vinden en beslissen of u tijdelijk offline gaat.
Lees verder WordPressWordPress en het PHP-lek
Wie de update installeert en wat u zelf controleert.
Lees verder OverheidDigiD en MijnOverheid offline
Wat de storing betekent als u wilt inloggen bij de overheid.
Lees verderDraait uw platform op PHP? Wij kijken met u mee
Appfront bouwt en onderhoudt digitale platforms, van webshop tot overheidsportaal. Twijfelt u welke PHP-versie u draait, of wilt u dat de volgende update geen spannende dag meer is? Plan een gesprek met een developer.