PHP-lek: Nederlandse websites offline, Nuzichtbaar blijft bereikbaar

Het PHP-lek bestaat uit twee kritieke kwetsbaarheden in PHP, de programmeertaal waarop een groot deel van alle websites draait, waaronder WordPress. Het PHP-beveiligingsteam geeft beide een ernstscore van 9,2 op 10. Daarom hebben onder meer MijnOverheid, DigiD, de Tweede Kamer, RTL Nieuws en Tweakers hun websites uit voorzorg uit de lucht gehaald. Ook hostingpartij MijnDomein zette getroffen websites tijdelijk offline. Op 21 oktober bracht PHP de beloofde beveiligingsupdates uit. Lees welke PHP-versies zijn gepatcht en wat website-eigenaren nu moeten controleren. De website van Nuzichtbaar is bereikbaar gebleven.

Bijgewerkt: 21 oktober 2026, 16:10 uur. PHP heeft de beveiligingsupdates inmiddels uitgebracht.

Twee kritieke PHP-lekken zorgen voor onrust: Nederlandse websites offline

Op 20 oktober kondigde het PHP-beveiligingsteam op php.net een kritieke beveiligingsrelease aan. Die release lost twee kwetsbaarheden op, bekend als CVE-2026-109618 en CVE-2026-109619. Beide hebben een CVSS-score van 9,2. Volgens het Nationaal Cyber Security Centrum (NCSC) kan een aanvaller ze misbruiken met een eenvoudig verzoek aan de server. Dat kan leiden tot het op afstand uitvoeren van code. Bovendien is er al publieke voorbeeldcode beschikbaar.

Daarom grepen organisaties woensdagochtend massaal in. Volgens de NOS gingen onder meer MijnOverheid, DigiD, de Tweede Kamer, RTL Nieuws, Tweakers, de Autoriteit Persoonsgegevens en ook NCSC.nl zelf offline. Ook systemen in het hoger onderwijs en het vergadersysteem Notubiz werden uitgeschakeld. Hostingbedrijf MijnDomein meldt op zijn supportpagina dat getroffen websites sinds 13:35 uur tijdelijk offline staan tot de beveiligingsupdate is doorgevoerd.

Waarom blijven Nuzichtbaar en onze website bereikbaar?

Terwijl verschillende Nederlandse organisaties hun websites uit voorzorg offline halen, blijft Nuzichtbaar bereikbaar. Dat hebben we op 21 oktober om 15:05 uur gecontroleerd. Een betrouwbare technische basis is voor ons essentieel, want online marketing heeft weinig waarde als bezoekers je website niet kunnen bereiken.

Onze hostingomgeving beschikt over aanvullende beveiligingsmaatregelen, waaronder een webapplicatiefirewall en proactieve PHP-bescherming. Die proactieve bescherming stopt een script zodra er een aanval wordt herkend. Deze maatregelen helpen risico's te beperken, maar vervangen noodzakelijke beveiligingsupdates niet.

Toch willen we daar eerlijk over zijn. Een firewall is een extra beschermingslaag, geen garantie tegen elke nieuwe kwetsbaarheid. Samen met onze hostingpartner volgen we de ontwikkelingen en treffen we passende voorzorgsmaatregelen. Nu de update beschikbaar is, moet die ook bij ons worden doorgevoerd.

Wat is PHP en waarom is het PHP-lek zo ernstig?

PHP is een programmeertaal die op de server draait. Het zorgt ervoor dat een website meer doet dan tekst tonen. Denk aan inloggen, formulieren verwerken, betalingen afhandelen en gegevens uit een database halen. WordPress, Joomla, Drupal en Magento draaien allemaal op PHP. Daardoor is de taal op het grootste deel van alle websites te vinden.

Een kwetsbaarheid in PHP zelf is daarom extra ernstig. Het probleem zit dan niet in één plug-in of thema, maar in de basis waarop de software draait. Bij een lek waarmee iemand op afstand code kan uitvoeren, kan een aanvaller in het ergste geval de server overnemen, data inzien of kwaadaardige pagina's plaatsen.

Is mijn WordPress-website kwetsbaar voor het PHP-lek?

Volgens het NCSC is ieder systeem met PHP dat vanaf internet bereikbaar is vermoedelijk kwetsbaar, zolang de update niet is doorgevoerd. Dat geldt dus ook voor WordPress-websites. Het maakt bovendien uit welke PHP-versie je hostingpartij gebruikt. Verouderde versies krijgen mogelijk geen update.

Wat betekent een offline website voor ondernemers?

Een offline website kan de juiste keuze zijn als die anders kwetsbaar is. Toch is het goed om te weten wat uitval kost. Zo kunnen bezoekers je diensten niet bekijken en komen er geen contactaanvragen binnen. Een webshop verkoopt in die tijd niets.

Daarnaast lopen betaalde campagnes vaak gewoon door. Wie met Google Ads adverteert, betaalt mogelijk voor klikken naar een pagina die niet laadt. Bovendien kan Google advertenties met een onbereikbare landingspagina afkeuren. Lees daarom wat je met Google Ads doet als je website offline is.

Ook je cijfers raken vertekend. Een daling in aanvragen of verkopen kan dan simpelweg door de storing komen. Met goede tracking en data-analyse zie je precies wanneer de uitval begon en wat het effect was. Voor je organische vindbaarheid geldt: een korte storing betekent niet automatisch dat je posities in Google verliest. Langdurige onbereikbaarheid kan wel gevolgen hebben voor je SEO.

Wat kun je als website-eigenaar tegen het PHP-lek doen?

Je hoeft dit niet alleen op te lossen. De belangrijkste stappen zijn wel helder:

• Neem contact op met je hostingpartij. Vraag of zij maatregelen hebben genomen en wanneer de update wordt doorgevoerd.
• Volg de officiële bronnen. Kijk op php.net, de advisories van het NCSC en het advies van CERT-EU.
• Laat je PHP-versie controleren. Draai je nog op een verouderde versie, plan dan een upgrade naar een versie die wel updates krijgt.
• Vertrouw niet alleen op tijdelijke tips. Volgens het NCSC nemen de tijdelijke maatregelen het lek niet weg en kunnen ze storingen veroorzaken.
• Zorg voor een recente back-up. Bewaar die bij voorkeur buiten de server.
• Houd je website en campagnes in de gaten. Let op foutmeldingen, vreemde pagina's of een plotselinge daling in aanvragen.
• Twijfel je? Vraag deskundig advies. Soms is tijdelijk offline gaan de verstandigste keuze. Het NCSC adviseert per systeem een risicoafweging te maken.

Hoe Nuzichtbaar websites ondersteunt

Bij Nuzichtbaar werken we aan vindbaarheid en meer aanvragen. Maar dat werkt alleen op een website die bereikbaar is en goed presteert. Daarom kijken we ook naar de technische basis. We werken samen met technische partners, houden prestaties en metingen in de gaten en communiceren direct als er iets speelt. Technisch onderhoud doen we waar dat met klanten is afgesproken. Een snelle, betrouwbare website is bovendien de basis voor conversieoptimalisatie.

Veelgestelde vragen over het PHP-lek

Conclusie: zichtbaarheid begint bij een bereikbare website

Het PHP-lek laat zien hoe afhankelijk ondernemers zijn van een betrouwbare technische basis. Zoek je een marketingpartner die verder kijkt dan alleen campagnes? Dan denken we graag met je mee.