Websites van RTL Nieuws, DigiD, MijnOverheid en de Tweede Kamer gingen uit voorzorg tijdelijk uit de lucht. De oorzaak: een ernstig beveiligingslek in PHP, een programmeertaal waarop een groot deel van het internet draait. Hoe kon dit zo groot worden, en lopen jouw gegevens gevaar?
Het lek kreeg een CVE-score van 9,2 op een schaal van 1 tot 10. Dat is uitzonderlijk hoog. Wie het lek kon misbruiken, kon zichzelf toegang verschaffen tot een website, klantdata stelen of aanvallen openen op bezoekers.
Urenlang was er geen officiële oplossing beschikbaar. Pas rond vier uur ’s middags brachten de makers van PHP een nieuwe versie uit. In de tussentijd stonden talloze websites bloot aan mogelijke aanvallen.
Wat moet je weten over dit lek?
- PHP is een van de oudste en meest gebruikte programmeertalen op het web, actief sinds 1995.
- Het lek zit in de interpreter, het onderdeel dat programmeercode vertaalt naar instructies voor de computer.
- Er zijn twee kwetsbaarheden gevonden, beide met een CVE-score van 9,2.
- Hackers grepen een vooraankondiging van de patch aan om het lek te lokaliseren en te misbruiken.
- Er zijn vooralsnog geen bevestigde gevallen van datadiefstal, maar misbruik valt niet uit te sluiten.
- De officiële patch staat inmiddels online; websites kunnen na een update weer live gaan.
Hoe kwamen hackers zo snel achter dit lek?
De makers van PHP kondigden dinsdag aan dat er woensdag een oplossing zou komen voor een probleem in hun software. Dat is een gebruikelijke werkwijze: zo kunnen beheerders zich voorbereiden op de update.
Hackers gebruikten die aankondiging echter als startschot. Aan de hand van de beschikbare informatie wisten zij het precieze lek te lokaliseren. Met die kennis was het relatief eenvoudig het lek daadwerkelijk te misbruiken.
Het gevolg was een race tegen de klok: website-eigenaren moesten actie ondernemen voordat een echte oplossing beschikbaar was.
Wat is PHP en waarom raakt dit zoveel sites?
PHP bestaat al sinds 1995 en is een van de fundamenten van het moderne web. Hoewel nieuwere programmeertalen populairder zijn geworden, draait een groot deel van de bestaande websites nog altijd op PHP.
Omdat zo veel websites dezelfde technologie gebruiken, treft één lek in PHP direct een enorme hoeveelheid sites tegelijk. Het beveiligingslek van 2026 zit specifiek in de interpreter, het stukje software dat programmeercode omzet naar iets wat een computer begrijpt.
Waarom kozen websites voor offline gaan?
Een echte, waterdichte oplossing was er urenlang niet. Website-eigenaren konden verdacht verkeer proberen te blokkeren, maar dat werkte niet volledig. Hackpogingen konden er altijd doorheen komen.
Offline gaan was niet de enige optie. Een alternatief was het uitschakelen van alle interactieve functies, zoals inloggen, reageren of bestanden uploaden. Voor een informatiesite werkt dat, maar voor DigiD of MijnOverheid heeft zo’n oplossing weinig zin.
Veel beheerders kozen daarom voor de zekerste weg: de site tijdelijk uit de lucht halen totdat de patch beschikbaar was.
Zijn mijn persoonsgegevens gestolen?
Vooralsnog zijn er geen concrete aanwijzingen dat er daadwerkelijk data is gestolen. Maar omdat het lek al urenlang actief was voordat de oplossing er lag, valt misbruik niet uit te sluiten.
Bovendien updaten veel website-eigenaren hun software pas laat. Vooral kleinere bedrijven en hobbysites draaien soms jarenlang verouderde versies. Die blijven ook de komende tijd extra kwetsbaar, nu het lek breed bekend is.
Wat kun je zelf doen?
Er is op dit moment geen directe actie nodig voor gewone internetgebruikers. Het is wel verstandig om alert te blijven op verdachte mails of berichten die claimen van een getroffen website afkomstig te zijn. Phishing ligt op de loer na dit soort incidenten.
Maakt AI dit soort lekken erger?
Het internet draait op een relatief kleine verzameling programmeertalen en softwarecomponenten. Een ernstig lek in zo’n basiscomponent kan daardoor direct een groot deel van het web raken. Dat is vandaag duidelijk zichtbaar.
Daar komt bij dat kunstmatige intelligentie het steeds makkelijker maakt om kwetsbaarheden in software te vinden, en dat steeds sneller. Of AI een rol speelde bij het ontdekken van dit specifieke lek, is niet bekend.
Wanneer zijn de getroffen websites weer online?
De patch van PHP staat inmiddels beschikbaar. In principe is het nu een kwestie van updaten, waarna websites weer normaal zouden moeten werken.
Toch kunnen er nog problemen ontstaan. Als veel beheerders tegelijk de update willen downloaden, kunnen de servers van PHP overbelast raken. Ook kunnen software-updates zelf soms misgaan.
De verwachting is desondanks dat de meeste getroffen websites nog in de loop van de dag of uiterlijk morgen weer bereikbaar zijn. De situatie wordt op de voet gevolgd.
