Het PHP-lek: waarom onderhoud belangrijker is dan je techniek

Woensdag 21 oktober gingen in Nederland binnen een paar uur tientallen websites op zwart. DigiD, MijnOverheid, de Tweede Kamer en de Schiphol-app gingen uit voorzorg offline. De oorzaak: twee ernstige lekken in PHP, de programmeertaal waar naar schatting 70 procent van alle websites op draait.

De lekken (CVE-2026-109618 en CVE-2026-109619) scoren allebei 9,2 op een schaal van 10. In het ergste geval konden aanvallers code uitvoeren op webservers en bij gegevens komen, zoals inloggegevens of formulieren. Nog dezelfde dag kwam er een beveiligingsupdate. Volgens het NCSC waren er donderdag wel aanvalspogingen, signalen van echt misbruik zijn nog onduidelijk.

Waarom het zo hard aankwam

Het lek was al langer bekend en de reparatie lag klaar. Het plan was gebruikelijk: eerst stil repareren, daarna pas details delen. Een dag voor de bekendmaking lekten de feiten toch uit, en een van de betrokken bedrijven hield zich niet aan het embargo. Daarna moest iedereen tegelijk in actie komen.

Daarachter zit een groter verhaal, schreef de Volkskrant op 23 oktober. PHP wordt beheerd door de PHP Foundation, een stichting met elf betaalde ontwikkelaars en een jaarbudget van 650.000 euro in 2025. De stichting noemde zelf structureel falen en een gebrek aan middelen als oorzaak. Dat is geen uitzondering: veel software waar het internet op leunt, wordt door een handvol mensen onderhouden.

Updaten: op tijd en zorgvuldig

Een lek dicht je met een update. Dat klinkt eenvoudig. Toch kan elke update iets aan je website veranderen: een plug-in die niet meer werkt, een formulier dat hapert. Daarom zetten we updates niet blind door.
Cybersecurity-expert Bert Hubert wees in de Volkskrant op nog iets. Een patch is geen pleister die je in één keer over je hele bedrijf plakt. Hij moet op elk systeem apart worden doorgevoerd, en veel bedrijven weten niet waar PHP overal in zit.
Officiële updates zijn er voor PHP 8.2 tot en met 8.5. Voor PHP 7.4, 8.0 en 8.1 zijn bij hoge uitzondering patches beschikbaar vanwege de ernst. Vraag dus niet alleen welke PHP-versie je draait, maar ook of de reparatie voor dit lek is doorgevoerd.
Bij Census werken we met twee niveaus:

• Met een onderhoudscontract (SLA SiteCare): we houden je site en server doorlopend bij.
• Zonder onderhoudscontract: we grijpen in bij acute beveiligingsproblemen, zoals deze week.

Checklist: zo weet je waar je staat

Een website is nooit af

Woensdag liet zien hoe snel een gewone update een crisis wordt.
De techniek achter je site zal altijd ergens een zwakke plek hebben.

Wat je wel in de hand hebt: weten wat er in je site draait en iemand hebben die het bijhoudt.
Daar zorgen wij voor. We houden websites veilig, snel en vindbaar, ook voor AI.

Twijfel je over jouw site? Neem contact met ons op, dan kijken we even mee.

Overstappen lost het niet op

Na woensdag hoor je het advies om over te stappen op een platform zonder PHP. Dat is begrijpelijk. Alleen heeft elke techniek vroeg of laat een lek. Softwareontwikkelaar Stefan Koopmanschap zei het in de Volkskrant: foutloos programmeren bestaat niet. Een ander platform draait ook op code van anderen, met eigen kwetsbaarheden.

Dat geldt net zo goed voor websites die met AI zijn gebouwd. Beveiligingsbedrijf IOActive testte in april 27 AI-modellen en programmeertools. Samen schreven ze bijna 20.000 stukken code, op basis van opdrachten waarin veiligheid niet werd genoemd. De uitkomst:

• Gemiddeld scoorden de modellen 59 procent op veiligheid.
• Bijna een derde van de code (31,6 procent) was volledig te misbruiken.
• Geen enkel model leverde volledig veilige code. Ook de beste instelling bevatte nog 90 kwetsbaarheden.
• Inloggen en versleuteling gingen bij bijna alle modellen mis.

De conclusie van IOActive: behandel code van AI als onbetrouwbaar en laat hem altijd controleren voordat hij live gaat. AI maakt bouwen sneller. Hoe veilig je site blijft, hangt af van wie hem bijhoudt.