PHP-lek legde websites plat: wat er gebeurde en wat je nu doet

Op 21 oktober 2026 gingen DigiD, MijnOverheid, RTL Nieuws, gemeenten en grote bedrijven uit voorzorg offline door twee kritieke lekken in PHP, de programmeertaal waar een groot deel van het web op draait. De update is er, maar daarmee is het niet voorbij. Draait jouw bedrijfswebsite op PHP, ga dan na of de update erop staat en of er vóór die tijd niemand binnen is geweest.

Hieronder lees je wat er gebeurde, waarom het gevaar nog niet is geweken en wat je nu kunt doen, voor je website en voor je administratie.

Wat er gebeurde

Het PHP-project kondigde op 20 oktober een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, CVE-2026-109618 (“RCE via OOM corruption”) en CVE-2026-109619 (“RCE via stale global state”). Beide maken ongeautoriseerde, externe code-uitvoering mogelijk: een aanvaller heeft geen inloggegevens nodig. PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 verhelpen het.

Risico liep elke PHP-installatie die webverzoeken verwerkt, van PHP-FPM tot Apache met mod_php, met het grootste risico bij mod_php. In Nederland gingen onder meer DigiD, MijnOverheid, de Tweede Kamer, het Nationaal Cyber Security Centrum (NCSC) zelf, de Autoriteit Persoonsgegevens, RTL Nieuws en meerdere gemeenten waaronder Zwolle uit voorzorg offline, en zes van de tien grootste Nederlandse dealerholdings waren dezelfde middag niet bereikbaar. Rond 16.00 uur stond de update online, en daarna kwamen de sites geleidelijk terug.

Belangrijke nuance: niet elke offline site was daadwerkelijk gehackt. Het NCSC zag op 21 oktober nog geen actief misbruik.

Wat is PHP?

PHP is een programmeertaal waarmee een website meer kan dan tekst en plaatjes tonen. Het draait op de server en zorgt er volgens het NCSC voor dat je kunt inloggen, dat betalingen worden uitgevoerd en dat de site met databases communiceert. Ook een zoekfunctie, een contactformulier of de bestelknop in een webwinkel draait er vaak op. Volgens de PHP Foundation gebruikt circa 70 procent van alle websites PHP of een variatie daarop, waaronder sites die op WordPress, Drupal of Magento zijn gebouwd.

Het lek zat in PHP zelf en niet in één toepassing. Daarom liep elke site op een kwetsbare versie risico.

Hoe kon dit gebeuren?

De zwakke plekken waren al in augustus bekend bij PHP. Op 11 augustus meldde beveiligingsbedrijf Calif het eerste lek, dat het samen met OpenAI via een AI-model had gevonden; op 24 augustus meldde onderzoeksbedrijf Wiz, ook met hulp van AI, een tweede. PHP werkte daarna aan een oplossing, die eigenlijk op donderdag 22 oktober naar buiten zou komen.

Op 20 oktober rond 17.20 uur verschenen de details op de website Hacker News; volgens Tweakers had de ontdekker ze per ongeluk zelf te vroeg laten uitlekken. Vanaf dat moment kon iedereen meelezen, ook wie kwaad wilde. Cloudflare zag op 21 oktober om 9.43 uur de eerste aanvallen, en PHP haalde de update naar voren.

Het NCSC riep op om de updates direct door te voeren: “Zolang dat niet gebeurt is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar.” Daarom kozen organisaties liever een paar uur offline dan dat risico.

Dat AI hier een rol speelt, werkt twee kanten op. Volgens Wiz kunnen beveiligingsbedrijven zo fouten opsporen die jarenlang onopgemerkt bleven, “maar de schaduwzijde is dat het dankzij AI voor criminelen sneller lonend is om weeffouten uit te buiten”.

Is het gevaar geweken?

Nee, en dat is geen reden voor paniek, wel voor een controle. “Een patch dicht het lek, maar maakt een eerdere inbraak niet ongedaan”, zegt ethisch hacker Wouter van Dongen. Wie al binnen was, kan volgens hem een achterdeur hebben geplaatst om later opnieuw toegang te krijgen. Hij verwacht ook dat veel systemen nog lange tijd kwetsbaar blijven, omdat niet iedereen direct updatet.

Tegelijk is er reden voor nuchterheid. Het Cybersecuritybeeld Nederland 2025 van de NCTV noemt het dreigingslandschap “steeds diverser en onvoorspelbaarder”, maar stelt ook dat “ondanks de toegenomen complexiteit de basisprincipes van belang” blijven.

Het kan ook los van PHP gebeuren. Op 18 oktober deed Ahold Delhaize aangifte van een cyberaanval waardoor de sites en apps van Albert Heijn, Etos en Gall & Gall tijdelijk onbereikbaar waren. Dat incident speelde al voordat het PHP-lek bekend werd; de oorzaak is niet bekendgemaakt.

Welke onderdelen van je website lopen risico?

Het gaat niet om één knop of formulier: elke pagina die op een kwetsbare PHP-versie draait, telt mee. Kleine sites zijn daarbij niet minder kwetsbaar dan grote. Volgens cyberexpert Arno Franken maakt het hackers niet uit of een website groot of klein is, omdat ze automatische programma's, bots, continu het internet laten afzoeken.

Kijk ook verder dan je website. Volgens het NCSC zijn alle producten en componenten waar PHP in zit in potentie kwetsbaar; het Britse NCSC verwijst daarvoor naar een lijst van het Nederlandse NCSC met softwareproducten die een mogelijk getroffen PHP-afhankelijkheid hebben. Hangt je webserver aan je bedrijfsnetwerk, dan kunnen aanvallers via die server verder proberen te komen, waarschuwt Peter Mosmans van Radically Open Security.

Wat kun je nu doen?

Is het PHP-lek langs je heen gegaan, dan is dit het moment om het alsnog na te lopen.

Zes stappen, op volgorde:

1. Vraag je websitebouwer of hostingpartij op welke PHP-versie je site draait en of de update erop staat. Het NCSC wijst erop dat je voor die update vaak afhankelijk bent van je leverancier.
   
   
2. Draait je site op PHP 8.1 of ouder, plan dan een upgrade. Het PHP-project levert voor die versies geen updates meer, en het NCSC adviseert om upgraden naar een versie met patches te overwegen.
   
   
3. Laat nagaan of er vóór de update al iemand binnen was. Het Britse NCSC adviseert om een systeem dat niet meteen is bijgewerkt te controleren op sporen van een inbraak en op achterdeuren die een aanvaller heeft achtergelaten.
   
   
4. Installeer ook de updates van leveranciers van software en apparaten waarin PHP zit. Het Britse NCSC raadt aan de updates van die leveranciers te blijven volgen en ze te installeren zodra ze er zijn.
   
   
5. Krijg je een mail van je hostingpartij met een link om in te loggen voor een dringende update, bel dan eerst. Cybersecurity-expert Erik Jan Koedijk waarschuwt voor criminelen die het zo proberen. Het Digital Trust Center adviseert om dan nooit de contactgegevens uit de mail te gebruiken, maar ze zelf op te zoeken.
   
   
6. Bouw daarnaast de basis uit die het NCSC elk bedrijf aanraadt. Stel tweefactorauthenticatie in op accounts met extra gevoelige toegang, zoals de beheeromgeving van je website, en test regelmatig of je je back-up ook echt kunt terugzetten.

En je administratie?

Diezelfde afweging geldt voor elk systeem waar je bedrijfsgegevens aan toevertrouwt, niet alleen voor een website.

Hoe AccountView met updates omgaat

Beheer je AccountView zelf, lokaal op je eigen computer of server, dan voer jij of je AccountView-leverancier de update zelf uit; dat gaat nooit automatisch. Vaste voorbereiding: alle gebruikers afmelden, een back-up maken en de administratie controleren. AccountView-support voert zelf geen updates uit.

Een nieuw Service Pack wordt gemeld met een blauwe vlag rechtsboven in het venster en een melding in Infoline (onder Help). Installeren wordt dringend geadviseerd maar is niet verplicht; vooral zinvol als je een concreet probleem wilt verhelpen.

Werk je in een gehoste omgeving (AccountView Online), dan voert de hostingpartij de update en de Service Packs voor je uit, meestal buiten werktijd; je merkt er doorgaans niets van.

Je back-up is het vangnet

Het programma kun je opnieuw downloaden, je administratiegegevens niet. Beheer je AccountView zelf, dan kun je instellen dat AccountView dagelijks, bij het afsluiten van de laatste gebruiker, om een back-up vraagt (Opties > Instellingen > Systeem > Backup); je bepaalt zelf hoeveel versies per administratie bewaard blijven. Een handmatige back-up vóór en na een update of een Service Pack blijft daarnaast verstandig. Werk je in een gehoste omgeving, dan hoort de back-up bij wat de hostingpartij voor je regelt.

Als een koppeling het tijdelijk laat afweten

Komen er geen bankmutaties binnen, dan ligt de oorzaak vaak bij de bank zelf: die kan vertraging hebben in het aanleveren van de afschriftinformatie. Probeer het later op de dag opnieuw en check Infoline voor een statusupdate.

Krijg je bij een Visma-dienst de melding dat registreren bij het On Demand Platform is mislukt, controleer dan eerst of er een algemene storing bij Visma speelt: is dat zo, dan helpt afwachten, niet herstarten. Is er geen storing gemeld, dan helpt het meestal om de betrokken Windows-services, waaronder de Visma Cloud Gateway, te herstarten. Blijft de melding terugkomen, dan gaat die naar AccountView-support.

Wat kost dit?

Updates, Service Packs en de back-upfunctie zitten in elk AccountView-pakket; je hebt er geen aparte module voor nodig. Lokaal huur je AccountView vanaf € 55 per maand (Solo Compleet), Team vanaf € 137,50 en Business vanaf € 247,50 per maand. Wil je dat het updatewerk bij Visma ligt in plaats van bij jou of je leverancier, dan is dat wat AccountView Online doet: vanaf € 115 per maand (Starter). Alle bedragen zijn exclusief btw, stand 22 oktober 2026. Wat elk pakket verder bevat, staat op de pagina pakketten en prijzen.

Die vaste update- en back-updiscipline is precies waar AccountView-partners op wijzen als het over continuïteit gaat:

“Een stabiel en bewezen financieel systeem; flexibel en heel betrouwbaar, zeer gedegen.”

Petra de Mol, eServiceware

Veelgestelde vragen

Wat was er op 21 oktober 2026 met PHP aan de hand?

Twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, maakten ongeautoriseerde, externe code-uitvoering mogelijk. PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 lossen het op; de update stond op 21 oktober rond 16.00 uur online.

Wat is PHP?

PHP is een programmeertaal waarmee een website meer kan dan tekst en plaatjes tonen, zoals zoekfuncties, formulieren en bestelknoppen. Volgens de PHP Foundation gebruikt circa 70 procent van alle websites PHP of een variatie daarop.

Waarom gingen zoveel Nederlandse sites offline terwijl ze niet per se gehackt waren?

Uit voorzorg. Tussen het uitlekken van de details en de patch zat een venster waarin de kwetsbaarheid openbaar was maar nog niet overal verholpen. Organisaties als DigiD, MijnOverheid en meerdere gemeenten kozen ervoor om in die periode liever niet bereikbaar te zijn.

Is mijn website veilig nu de update er is?

Niet vanzelf. De update dicht het lek, maar draait een eerdere inbraak niet terug. Laat daarom ook nagaan of er vóór de update al iemand binnen was, en controleer of je site niet op PHP 8.1 of ouder draait, want daarvoor komt geen officiële patch meer.

Voert AccountView updates automatisch voor me uit?

Dat hangt af van hoe je werkt. Lokaal voer jij of je AccountView-leverancier de update zelf uit, nooit automatisch. In een gehoste omgeving doet de hostingpartij dat voor je.

Hoe vaak maakt AccountView een back-up van mijn administratie?

Je kunt instellen dat AccountView dagelijks, bij het afsluiten van de laatste gebruiker, om een back-up vraagt. Je bepaalt zelf hoeveel versies per administratie bewaard blijven, en een handmatige back-up vóór en na een update is altijd verstandig.

Wat als een koppeling, bijvoorbeeld met de bank, tijdelijk niet werkt?

Meestal ligt de oorzaak buiten AccountView, bijvoorbeeld bij vertraging aan de kant van de bank. Probeer het later op de dag opnieuw en check Infoline voor een statusupdate.

Een lek dat je niet had kunnen voorkomen, hoeft je eigen administratie niet te raken als updaten en een werkende back-up al een gewoonte zijn in plaats van een taak voor als het misgaat. Twijfel je of je eigen back-upinstelling klopt? Dat staat in drie stappen op de supportpagina Backups aanmaken en terugzetten.

Dit artikel beschrijft wat er tot en met 21 oktober 2026 bekend was. Voor de actuele stand, zie de advisory op php.net en de berichten van het NCSC.

Waar dit op rust

• PHP.net, security advisory 21 oktober 2026 (archive.php#2026-10-21-5), CVE-2026-109618 en CVE-2026-109619.
• NCSC, “Ernstige kwetsbaarheden in PHP”, nieuwsbericht op rijksoverheid.nl, 21 oktober 2026.
• NCSC (Verenigd Koninkrijk), “Critical security issue affecting PHP”, 21 oktober 2026.
• NOS, liveblog “Websites kwetsbaar voor softwarelek: RTL Nieuws, DigiD en MijnOverheid uit de lucht”, 21 oktober 2026.
• Reformatorisch Dagblad (ANP), “Cyberexperts: PHP-lek heeft ook na patch nog maanden gevolgen”, met reconstructie, 21 oktober 2026.
• Tweakers, “Ontdekker PHP-kwetsbaarheden lekte per ongeluk zelf vroegtijdig details uit”, oktober 2026.
• Bright, “Wat is PHP precies en waarom zijn zoveel sites door de kwetsbaarheid getroffen?”, 21 oktober 2026.
• Computable, “Kritiek PHP-lek zet miljoenen websites onder druk”, 21 oktober 2026.
• RTV Focus Zwolle, “Enorm PHP-lek zet websites op zwart: ook Zwolle.nl, DigiD en MijnOverheid offline”, 21 oktober 2026.
• Automotive Online, “Websites zes grote dealerholdings offline door landelijke beveiligingsproblemen”, 21 oktober 2026.
• NOS, “Moederbedrijf Albert Heijn doet na ruim een week aangifte van cyberaanval”, 19 oktober 2026.
• NCTV, Cybersecuritybeeld Nederland 2025.
• NCSC, basisprincipe 4 “Beheer toegang tot data en diensten” en basisprincipe 5 “Bereid je voor op incidenten”.
• Digital Trust Center, “Hoe herken ik een phishing e-mail?”.
• AccountView-supportpagina's: Updateprocedure, Procedure Service Pack, Backups aanmaken en terugzetten, Directe bankkoppeling FAQ, Visma-diensten activeren en FAQ.
• AccountView-supportkennisbank (goedgekeurd 31 juli 2026), documenten “Installatie, update en versie”, “Backups en administratiebeheer”, “Bankkoppeling en bankmutaties”, “Visma Cloud Gateway en workflow”.
• Plaatsbare partnerquotes AccountView, akkoord Petra de Mol (eServiceware), 9 september 2026.
• Prijslijst via accountview.nl/pakketten.
• Alle bronnen geraadpleegd op 21 en 22 oktober 2026.