PHP-lek oktober 2026: moet je als ondernemer iets doen met je website?

Op woensdag 21 oktober gingen ineens bekende websites op zwart. DigiD, MijnOverheid, de website van de Tweede Kamer en zelfs die van het Nationaal Cyber Security Centrum (NCSC) werden uit voorzorg offline gehaald. De reden: twee ernstige lekken in PHP. Dat is de programmeertaal waarop een groot deel van alle websites draait, ook veel websites van bedrijven in Epe en op de Veluwe. Moet jij hier als ondernemer iets mee? Ja, al hoef je het meeste werk niet zelf te doen.

Wat is er aan de hand?

PHP is de techniek achter de schermen van miljoenen websites. WordPress draait erop, net als veel webwinkels, contactformulieren en klantportalen. Door de lekken die nu zijn gevonden, kan een aanvaller met één simpel verzoek aan de website code uitvoeren op de server. Inloggen is daarvoor niet nodig. In het ergste geval neemt iemand zo je website over of komt hij bij de gegevens die erop staan.

Volgens het NCSC zijn in ieder geval alle PHP-versies vanaf versie 5 kwetsbaar. Er is voorbeeldcode openbaar die laat zien hoe het lek werkt. Op 21 oktober zijn de updates uitgebracht, voor PHP 8.2, 8.3, 8.4 en 8.5. Het NCSC had op dat moment nog geen actief misbruik gezien, maar Amazon meldde al een aanvalspoging van vier dagen eerder.

Waarom ook kleine websites risico lopen

Je denkt misschien: wie wil er nou mijn website hacken? Maar zulke aanvallen gaan meestal niet om jou persoonlijk. Er draaien programma's die automatisch het internet afzoeken naar websites die nog niet zijn bijgewerkt. Een kleine bedrijfssite is dan net zo bruikbaar als een grote, bijvoorbeeld om spam te versturen, bezoekers door te sturen naar nepsites of gegevens uit een contactformulier te halen.

Wie moet de update doen?

Dat hangt af van hoe je website is geregeld:

• Gedeelde hosting, zoals bij de meeste kleine bedrijven: je hostingpartij werkt PHP op de server bij. Jij moet wel controleren welke PHP-versie je website gebruikt. In cPanel staat dat meestal onder "MultiPHP Manager" of "Select PHP Version".
• Eigen server of VPS: dan moet jij of je beheerder de update zelf installeren.
• Website via een bureau of webbouwer: vraag hen of het geregeld is en laat je het bevestigen.

Let op: voor PHP 8.1 en ouder brengt PHP zelf geen gewone updates meer uit. Draait je website op zo'n oude versie, dan is overstappen naar een nieuwere versie nu echt nodig. Test daarna of alles nog werkt, want oude code werkt niet altijd zonder aanpassingen op een nieuwe versie.

Zo controleer je het deze week

1. Vraag je hostingpartij of de PHP-update van 21 oktober op jouw server is geïnstalleerd.
2. Kijk welke PHP-versie je website gebruikt. Is dat 8.1 of lager, laat dan een upgrade doen.
3. Gebruik je WordPress? Werk dan ook meteen je plugins en thema bij. Deze maand werd bijvoorbeeld ook een ernstig lek in de plugin Bricksforge actief misbruikt.
4. Probeer na de update je contactformulier, webshop of inlogpagina even uit.
5. Zorg dat er een recente back-up is die niet op dezelfde server staat.

Na één update ben je er nog niet

Cyberexperts waarschuwen dat dit lek ook na de update nog maanden gevolgen heeft, omdat lang niet iedereen meteen bijwerkt. Websites die al jaren niet zijn aangeraakt, blijven dus nog lang een makkelijk doelwit. Een website is geen folder die je één keer laat drukken. Er hoort onderhoud bij, net als bij een bedrijfsauto.

Weet wie je website bijhoudt

De belangrijkste les van deze week is eigenlijk simpel: weet wie jouw website technisch bijhoudt en wat die persoon of partij dan precies doet. Weet je dat niet, dan is dit een goed moment om het uit te zoeken.

Twijfel je hoe jouw website ervoor staat of wie hem eigenlijk onderhoudt? Neem contact op via dato.nl, dan kijken we samen mee.

← Terug naar het blogoverzicht