Het PHP-lek van 21 oktober: vijf lessen, en waarom veiligheid op kantoor begint

Wat gebeurde er op 21 oktober?

Op woensdag 21 oktober 2026 meldde de organisatie achter PHP twee ernstige lekken in de kern van de software. PHP is de programmeertaal waarop een groot deel van alle websites draait, van webwinkels tot overheidssites. Met de lekken kon iemand zonder in te loggen eigen code uitvoeren op een server. PHP gaf beide lekken een ernstscore van 9,2 op 10. Alle versies vanaf PHP 5 waren kwetsbaar.

Er was al voorbeeldcode openbaar die liet zien hoe het lek werkte. Het Nationaal Cyber Security Centrum (NCSC) had nog geen misbruik gezien, maar riep organisaties op om de update direct te installeren zodra die er was.

Veel organisaties namen geen risico. Uit voorzorg gingen onder meer DigiD, MijnOverheid, de website van de Tweede Kamer en die van het NCSC zelf offline. Ook ziekenhuizen zoals Haaglanden MC en St. Antonius haalden hun sites tijdelijk uit de lucht. Om 16.00 uur kwam de update. Daarna kwamen de sites langzaam weer online.

Het NCSC benadrukte dat het geen aanval was, maar een fout in de software: "een weeffout die in de software zit en dat kan gebeuren". Het NCSC waarschuwt wel voor een lange nasleep. Bij vergelijkbare lekken bleven aanvallers nog lang zoeken naar systemen die niet waren bijgewerkt.

Ook bij ons: zo pakten wij het aan

Ook it-label.com draait op PHP. Daarom hebben we op 21 oktober gedaan wat we anderen ook aanraden. We hebben eerst bekeken welke van onze websites en systemen kwetsbaar waren. Tot de update er was, hebben we de servers extra in de gaten gehouden. Toen de update beschikbaar kwam, hebben we hem dezelfde middag geïnstalleerd. Daarna hebben we gecontroleerd of alles weer goed werkte en of er sporen van een inbraak waren. Die waren er niet.

Meer details over onze systemen delen we bewust niet. Ook dat is een les: hoe uw beveiliging precies werkt, hoeft niet op straat te liggen.

Vijf lessen uit het PHP-lek

1. Weet wat u heeft. Veel organisaties wisten op 21 oktober niet direct welke systemen PHP gebruiken. Denk niet alleen aan de website, maar ook aan het klantportaal, het intranet, de webshop en de beheerschermen van apparaten. Wie geen overzicht heeft, weet ook niet wat er bijgewerkt moet worden.
2. Zorg dat u snel kunt bijwerken. Wie mag een update installeren? Wie heeft de toegang? Hoe lang duurt het? Leg dat vast voordat het nodig is, ook als uw website bij een hostingbedrijf of webbureau staat.
3. Heb een plan voor de dag van het lek. Wie beslist of een site uit voorzorg offline gaat? Wie informeert klanten en medewerkers? DigiD en de ziekenhuizen lieten zien dat tijdelijk offline gaan een verstandige keuze kan zijn.
4. Bouw uw beveiliging in lagen. Een fout in één laag mag niet alles openzetten. Een webserver hoort bijvoorbeeld niet zomaar bij de bestanden, de administratie of het kantoornetwerk te kunnen.
5. Na de update is het niet klaar. Controleer of er niemand is binnengekomen voordat de update er was. En blijf opletten: het NCSC verwacht dat aanvallers nog maanden naar niet-bijgewerkte systemen zoeken.

Software is maar één laag: cyberveiligheid begint op kantoor

Bij het PHP-lek ging alle aandacht naar software. Dat is logisch, maar het is maar een deel van het verhaal. Een aanvaller hoeft niet altijd via internet binnen te komen. Soms is de deur van de serverruimte de makkelijkste weg. Daarover schreven we eerder in De deur van je serverruimte en Waarom fysieke IT-beveiliging onmisbaar is voor cybersecurity.

Stel uzelf daarom ook deze vragen:

• Is de serverruimte of patchkast op slot? En wie heeft de sleutel of de toegangspas? Vaak blijkt dat ook schoonmakers, installateurs of andere huurders erbij kunnen.
• Zijn de wifi access points afgeschermd? Hangen ze zo dat een bezoeker er een kabel uit kan trekken en zijn eigen laptop kan aansluiten? Zit er een resetknop die iedereen kan indrukken?
• Is het gastnetwerk gescheiden? Gasten, het kantoornetwerk en andere huurders horen elk op een eigen netwerk.
• Waar komt de internetverbinding binnen? En wie kan bij die plek? In bedrijfsverzamelgebouwen delen huurders vaak een technische ruimte.
• Zijn de gebouwsystemen gescheiden? Toegangspoorten, camera's en klimaatregeling horen niet op hetzelfde netwerk als de laptops.
• Is er een cyber security policy? Wie is de eigenaar? Staat erin wie updates doet, wie toegang heeft tot welke systemen, welke afspraken er met leveranciers zijn en wat u doet bij een lek zoals dat van 21 oktober?

Het antwoord op die vragen zie je niet vanaf je bureau. Daarvoor moet iemand ter plekke kijken.

Waar het IT-Label helpt

Met de IT-Label Security Audit kijkt een specialist op locatie naar de beveiliging van uw wifi, uw netwerkapparatuur, de serverruimte, de plek waar de internetverbinding binnenkomt en de scheiding tussen netwerken. U krijgt een rapport met wat goed gaat en wat beter kan. Lees meer in Hoe veilig is de IT van uw kantoor?

Het IT-Label laat daarnaast zien hoe een gebouw digitaal is opgeleverd: van de verbinding en de bekabeling tot de technische ruimtes. Zo weten eigenaren en huurders waar ze staan, en wie waarvoor verantwoordelijk is.

Veelgestelde vragen

Was mijn website ook kwetsbaar?

Als uw website of een van uw systemen PHP gebruikt, is de kans groot dat die kwetsbaar was. Alle versies vanaf PHP 5 waren getroffen. Vraag uw webbureau of hostingbedrijf of de update is geïnstalleerd, en of zij hebben gecontroleerd dat er niemand is binnengekomen.

Mijn website staat bij een hostingbedrijf. Moet ik dan iets doen?

Vaak installeert het hostingbedrijf de update. Maar dat is niet altijd zo, bijvoorbeeld bij een eigen server of een oud pakket. Vraag het daarom na, en leg vast wie in de toekomst verantwoordelijk is voor updates.

Wat is een cyber security policy, en heb ik er een nodig?

Een cyber security policy is een document waarin staat hoe uw organisatie omgaat met digitale veiligheid: wie waarvoor verantwoordelijk is, wie toegang heeft, hoe updates worden gedaan en wat er gebeurt bij een incident. Ook voor een klein bedrijf is een korte versie nuttig. Op de dag van een lek weet dan iedereen wat er moet gebeuren.

Kijkt de Security Audit ook naar mijn website?

Nee. De Security Audit kijkt naar de IT op locatie: wifi, netwerkapparatuur, serverruimte, aansluiting en gescheiden netwerken. Voor uw website of software kunt u het beste uw webbureau of IT-leverancier vragen.

Hoe weet ik of mijn netwerkapparatuur is bijgewerkt?

Vraag uw IT-partner om een overzicht van uw router, firewall, switches en access points, met de softwareversie en de datum van de laatste update. Tijdens een Security Audit controleren we ook of standaardwachtwoorden zijn aangepast en wie de apparatuur beheert.

Weet waar u staat

Het PHP-lek liet zien hoe snel het kan gaan. Wie weet wat hij heeft en wie wat doet, kan snel handelen. Begin bij de basis: uw kantoor. Vraag een Security Audit aan of schrijf u in voor de nieuwsbrief en blijf op de hoogte van de digitale veiligheid van gebouwen.

Bronnen: NCSC via Rijksoverheid, Ernstige kwetsbaarheden in PHP; NOS, liveblog 21 oktober 2026; php.net.