Meerdere grote Nederlandse websites zijn woensdag tijdelijk offline gehaald na waarschuwingen over twee kritieke kwetsbaarheden in PHP. Het gaat onder meer om de websites van de Tweede Kamer, DigiD, MijnOverheid, het Nationaal Cyber Security Centrum (NCSC), openbaarvervoerbedrijf EBS en verschillende ziekenhuizen en voetbalclubs.
Ook de sites van politievakbond ACP, apothekerskoepel KNMP, voetbalclub Fortuna Sittard en techwebsite Tweakers zijn niet bereikbaar. Bezoekers krijgen vaak alleen de melding dat de website wegens onderhoud tijdelijk buiten gebruik is. De kwetsbaarheden worden daarbij niet altijd genoemd.
Update moet aanvallen voorkomen
De beveiligingsproblemen maken het mogelijk om op afstand een server aan te sturen. Een aanvaller kan daardoor controle over een server krijgen. PHP wordt gebruikt door ongeveer 70 procent van alle websites en vormt ook de basis voor veel toepassingen, waaronder WordPress.
De ontwikkelaars van PHP brengen om 16.00 uur Nederlandse tijd een beveiligingsupdate uit. Het gaat om de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619. Organisaties krijgen het advies de update zo snel mogelijk te installeren zodra die beschikbaar is.
Het Nationaal Cyber Security Centrum heeft nog geen actief misbruik van de kwetsbaarheden vastgesteld. Wel waarschuwt het centrum organisaties om zich vooraf voor te bereiden. Criminelen kunnen proberen snel na het verschijnen van de details een aanval op kwetsbare systemen op te zetten.
Zolang een PHP-systeem niet is bijgewerkt, blijft het risico bestaan. Daarom kiezen sommige organisaties ervoor hun websites tijdelijk uit te schakelen. Europese cyberveiligheidsautoriteiten hebben organisaties eveneens gewaarschuwd voor de mogelijke gevolgen.
Niet alle diensten zijn offline
Niet elk bedrijf neemt dezelfde maatregel. Bij Picnic draaien de bestelapp en de belangrijkste systemen niet op PHP. De website van de bezorgdienst gebruikt de programmeertaal wel, maar blijft beschikbaar omdat klanten daar niet rechtstreeks kunnen bestellen.
Ook de NS verwacht geen problemen. "We waren door goede contacten met experts gisteravond al vroeg op de hoogte", zegt een woordvoerder. "Onze teams zitten klaar om maatregelen te nemen." Volgens de vervoerder hebben de kwetsbaarheden geen gevolgen voor de eigen systemen.
