Bekijk de belangrijkste inzichten van dit artikel met AI
Zij haalden hun websites uit voorzorg offline omdat er nog geen oplossing was voor twee kritieke PHP lekken. Op 21 oktober was offline gaan de enige manier om zeker te weten dat niemand via PHP binnenkwam. Sinds de update van 16:00 uur is bijwerken de echte oplossing.
Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Het Nationaal Cyber Security Centrum meldt op zijn eigen site dat ncsc.nl uit voorzorg offline is vanwege de kwetsbaarheden in PHP. Security.NL zette zijn systemen in onderhoudsmodus. Ook techsite Tweakers en de website van de Tweede Kamer gingen eruit.
Waarom kiezen juist zij hiervoor?
Omdat zij het risico het beste kunnen inschatten. Deze organisaties hebben eigen beveiligingsmensen in dienst. Dat zij kiezen voor de zwaarste maatregel zegt genoeg over de ernst. De lekken krijgen allebei een score van 9,2 op een schaal van 10 en Cloudflare meldde op 21 oktober om 07:43 UTC de eerste aanvallen.
Wat betekent dit voor jouw website?
Dat je dezelfde afweging moet maken, op jouw schaal. Jouw bedrijfssite is geen overheidswebsite, maar het lek is hetzelfde. Lees of je website gevaar loopt door het PHP lek en bepaal daarna of offline gaan bij jou past via moet ik mijn website tijdelijk offline halen.
Was er geen andere optie?
Er waren noodgrepen, maar die hebben allemaal een nadeel. Je kunt bepaalde aanvragen blokkeren in je webserver, maar dan werken uploads en formulieren niet meer. Je kunt achter een filter als Cloudflare gaan zitten, maar dat is volgens Cloudflare zelf een noodverband. Zie helpt Cloudflare tegen het PHP lek. PHP kerndeveloper Gina Peter Banyard noemt offline gaan de verstandigste keuze.
Vraag over je vindbaarheid
Wat zou jij doen met jouw website?
Die afweging hangt af van je verkeer, je omzet en je zichtbaarheid in Google. Wil je er even over sparren, neem dan gerust contact op.
Neem contact opWanneer kwam de oplossing?
De PHP Foundation bracht de beveiligingsrelease uit op 21 oktober 2026 om 16:00 Nederlandse tijd. Daarna moet jouw hostingpartij de update nog installeren. Zet dat meteen in gang met de vragen uit wat je je hostingpartij vraagt over het PHP lek. De volledige uitleg staat in wat PHP2Shell is en wat je nu moet doen.
Ik ben Jesse Commandeur, freelance SEO specialist uit Raalte. Ik werk ruim vijf jaar in SEO en werkte met meer dan 75 klanten. Beveiliging is niet mijn vakgebied, maar een gehackte website kost altijd ook zichtbaarheid in Google. Daarom volg ik dit nieuws op de voet. De feiten in dit artikel komen van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC.
Staan ze inmiddels weer online?
Ja. De websites die op 21 oktober dichtgingen zijn weer bereikbaar. Dat geldt voor DigiD, MijnOverheid, Overheid.nl, Tweakers, Security.NL en het NCSC. Security.NL meldde op 21 oktober om 21:52 uur dat DigiD en de andere overheidssites weer online waren.
De keuze om dicht te gaan levert wel discussie op. In de Tweede Kamer zijn vragen gesteld aan minister van Weel over het offline halen van die overheidssites. Dat meldt Security.NL op 22 oktober 2026.
Achteraf blijkt de inschatting ook milder te mogen. Sansec meldt dat de openbare exploits niet werken tegen een standaard PHP installatie. Tegelijk zag Amazon de eerste aanvalspogingen al op 17 oktober, vier dagen voor de bekendmaking. Voorzichtig zijn was dus niet gek.
Het speelt trouwens breder dan websites. QNAP adviseert kwetsbare NAS systemen offline te halen en Palo Alto Networks meldt dat een deel van zijn firewalls kwetsbaar is. Cisco en Fortinet onderzoeken het nog.
Veelgestelde vragen over de offline websites
Ik licht graag een aantal veelgestelde vragen toe: Zijn die sites gehackt?
Daar is niets over gemeld. Zij geven aan dat het om een voorzorgsmaatregel gaat.
Moet ik mijn site ook offline halen?
Dat hangt af van wat je website oplevert en of je hostingpartij snel updatet. Sansec schrijft sinds 22 oktober dat dat niet meer nodig is.
Hoe lang blijven ze offline?
Tot de update op hun servers staat en ze hebben gecontroleerd of alles schoon is.
Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.
Schreef eerder voor
Vond je dit artikel nuttig?Zet jessecommandeur.nl als voorkeursbron in Google. Dan zie je mijn artikelen vaker terug in de zoekresultaten en in AI antwoorden.
Voeg toe als voorkeursbron in Google
