Kritiek PHP-lek: DigiD, MijnOverheid en andere sites uit voorzorg offline
Door twee ernstige lekken in PHP, bekend als PHP2Shell, haalden DigiD, MijnOverheid, de Tweede Kamer en andere organisaties woensdag hun websites uit voorzorg offline. Inmiddels is er een update.
Woensdag 21 oktober zijn in Nederland en daarbuiten veel websites tijdelijk uit de lucht gehaald. De oorzaak is geen storing in de gewone zin, maar een beveiligingsprobleem: twee ernstige lekken in PHP, de programmeertaal waarop naar schatting zo'n 70 procent van alle websites draait. De lekken worden PHP2Shell genoemd.
Wat is er aan de hand?
Het gaat om twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Ze krijgen allebei een risicoscore van 9,2 op 10. Via de lekken kan een aanvaller van buitenaf eigen code op een webserver uitvoeren, zonder in te loggen. Het probleem zit in PHP zelf, niet in een losse plug-in of een bepaald systeem zoals WordPress. Daardoor kunnen heel veel websites geraakt worden.
De details zouden pas op 22 oktober bekend worden, maar lekten eerder uit. Daarom bracht het PHP-team de updates een dag eerder uit, woensdag om 16.00 uur Nederlandse tijd.
Welke websites gingen offline?
Veel organisaties wachtten niet op de update en haalden hun website uit voorzorg offline. In Nederland ging het onder meer om DigiD, MijnOverheid, de Tweede Kamer, het NCSC, de Autoriteit Persoonsgegevens, Tweakers, persbureau ANP en het vergadersysteem NotuBiz dat zo'n honderd gemeenten gebruiken. Ook RTL was volgens Telecompaper geraakt. In het buitenland namen onder meer de Finse overheid en de Universiteit van Wenen systemen van het net.
Merk je dat een website vandaag niet werkt? Dan kan het dus goed zijn dat de beheerder hem bewust offline heeft gehaald om de update te installeren. Op Storingen.nl zie je per dienst of anderen hetzelfde melden.
Wordt het lek al misbruikt?
Het Nationaal Cyber Security Centrum (NCSC) had woensdag nog geen misbruik gezien. Cloudflare meldde wel de eerste aanvallen op PHP-sites en zette extra beveiligingsregels aan. Het NCSC noemt elk systeem met PHP dat vanaf internet bereikbaar is vermoedelijk kwetsbaar zolang het niet is bijgewerkt.
Wat moet je doen als je een website hebt?
Alleen een update van PHP zelf dicht het lek. Een update van WordPress of een plug-in helpt niet. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder komt geen update. Heb je je website bij een hostingbedrijf, vraag dan na of de server al is bijgewerkt. Kan dat niet snel, dan adviseert het Europese cyberteam CERT-EU de website tijdelijk af te schermen of offline te halen.
Als gewone bezoeker hoef je zelf niets te doen. Wel is het verstandig om de komende dagen extra alert te zijn op vreemde mails of berichten die over dit lek gaan.
