PHP-lek legt DigiD en Tweakers plat: wat betekent het voor jouw website?

Op 21 oktober 2026 gingen DigiD, MijnOverheid, de Tweede Kamer, het Nationaal Cyber Security Centrum en Tweakers uit de lucht. Niet door een aanval, maar uit voorzorg: in PHP, de programmeertaal waar het overgrote deel van alle websites op draait, waren twee kritieke lekken bekend geworden waarvoor nog geen update bestond. Hieronder lees je wat er gebeurde, wat je moet doen als je website op WordPress of een ander PHP-systeem draait, en waarom je als Appset-klant niets hoeft te doen.

Wat is er gebeurd?

Het gaat om twee kwetsbaarheden in PHP zelf, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Het PHP-beveiligingsteam gaf ze allebei een ernst van 9,2 op een schaal van 10. Een aanvaller kan er van buitenaf eigen code mee uitvoeren op de server waar een website op draait, en daarmee bij alles wat op die server staat: klantgegevens, bestellingen, wachtwoorden, e-mail.

Normaal gesproken wordt zo'n lek stil gerepareerd en pas bekendgemaakt als de update klaarstaat. Dat ging dit keer mis. De details lekten op 20 oktober uit, een dag voordat PHP de update zou uitbrengen. De volgende ochtend zag Cloudflare de eerste aanvallen, terwijl er nog geen update was. Het NCSC zei het zo: zolang de update er niet is, is ieder systeem dat PHP bevat en vanaf het internet bereikbaar is vermoedelijk kwetsbaar. Daarom kozen veel organisaties ervoor hun site tijdelijk offline te halen.

PHP kondigde de update aan voor 21 oktober om 16:00 uur Nederlandse tijd. Maar een update van PHP zelf dicht het lek nog niet op de servers die erop draaien. Elke server waar PHP op staat moet die update apart krijgen, en dat gebeurt niet vanzelf.

Voor wie geldt dit?

Het lek zit niet in een plugin of een thema, maar in PHP zelf. Daardoor raakt het alle websites die erop gebouwd zijn: elke WordPress-site, maar ook Drupal, Joomla, Magento en Laravel. Hoe goed je site verder onderhouden is maakt niet uit. Een WordPress-site waar alle plugins keurig bijgewerkt zijn, is net zo kwetsbaar als een site die jaren niet is aangeraakt, zolang de PHP-versie eronder niet is bijgewerkt.

Dit moet je doen als je site op WordPress draait

• Vraag je hostingpartij of webbureau of PHP is bijgewerkt. Bij de meeste hostingpakketten doe je dit niet zelf en moet de host het doen. Vraag ook naar welke versie, zodat je kunt controleren of je echt op een gerepareerde versie zit. Neem geen "dat regelen wij" als antwoord zonder versienummer.
• Controleer op welke PHP-versie je draait. Dat staat in je hostingpaneel of in WordPress onder Hulpmiddelen, Sitegezondheid. Oudere versies van PHP krijgen mogelijk geen officiële update meer. Draai je op 8.1 of ouder, vraag dan om een upgrade.
• Is je site nog niet bijgewerkt, overweeg dan om hem tijdelijk offline te zetten. Dat is wat de overheid en Tweakers deden. Een onderhoudsmodus via een plugin helpt niet: PHP verwerkt een aanvraag al voordat die plugin aan de beurt is. Alleen de server zelf uitzetten of een statische pagina tonen helpt.
• Installeer geen 'fix'-plugins of losse codesnippets. Die duiken bij elk groot lek op. Ze zijn niet gecontroleerd en de enige echte oplossing is de update van PHP zelf.
• Vergeet je oude sites niet. Een testsite, een oude staging-omgeving of dat tweede domein dat nog ergens draait: die zijn net zo bereikbaar voor een aanvaller als je hoofdsite.
• Ga ervan uit dat dit vaker gebeurt. Dit was een groot lek, maar niet het eerste en niet het laatste. Spreek met je host of bureau af wie er bij het volgende lek aan zet is en binnen hoeveel tijd.

Als je site bij Appset staat: je hoeft niets te doen

Appset gebruikt geen PHP. Nergens. De websites die wij bouwen, het dashboard, de app en onze API draaien op een andere techniek, in Nederland bij Microsoft Azure en bij Vercel. Deze twee lekken raken ons platform dus niet, en je website is gewoon bereikbaar en veilig gebleven. Je hoefde niets te updaten, niets uit te zetten en niemand te bellen.

Eerlijk is eerlijk: dat wij hier geen last van hadden, komt doordat wij niet op PHP zitten. Ook in andere software zitten weleens lekken. Het echte verschil zit in wat er dan gebeurt. Bij een WordPress-site ben jij, of je bureau, degene die de update moet regelen, zo snel mogelijk, voor elke site apart. Bij Appset is dat ons werk: wij beheren het platform centraal en werken alle klantsites tegelijk bij, zonder dat jij er iets van merkt. Dat is wat inbegrepen betekent.

Heb je naast je Appset-site nog ergens een oude WordPress-site staan, dan geldt de lijst hierboven daar wel voor.

Nu overstappen?

We gaan je niet vertellen dat je vandaag je WordPress-site moet opzeggen. Zorg eerst dat die bijgewerkt is. Maar als je na vandaag denkt: ik wil dit nooit meer zelf hoeven regelen, dan is dat precies waarvoor Appset bestaat. Wij zetten je bestaande site over en daarna zijn updates, beveiliging en onderhoud niet meer jouw zorg. Lees de vergelijking tussen Appset en WordPress, of plan een kennismaking.

Bronnen: de aankondiging van PHP op php.net, het advies van het NCSC, de berichtgeving van de NOS, en de analyses van Cloudflare, Sansec, Patchstack en Huntress van 20 en 21 oktober 2026.