Alles met PHP in beeld brengen
Denk niet alleen aan uw website. Ook een webshop, klantportaal, intranet, NAS of firewall kan PHP gebruiken. Maak een lijstje en vraag per onderdeel na of de update erop staat.
Cybersecurity · 22 oktober 2026
De dag na het PHP-lek: miljoenen pogingen, nog geen bevestigde hacks.
Een dag nadat DigiD, MijnOverheid en honderden andere websites uit voorzorg offline gingen, is het meeste weer in de lucht. Er is nog geen enkele geslaagde inbraak via dit lek bevestigd. Maar aanvallers zijn wel massaal aan het proberen, en ze begonnen al dagen voordat de update er was. Dat maakt de komende weken belangrijk.
0Bevestigde hacks tot nu toe
MiljoenenAanvalspogingen gezien door Cloudflare
17 oktoberEerste poging, vier dagen voor de update
NAS en firewallsBlijken ook PHP te gebruiken
Kort
Staat uw website bij SOSO Hosting, dan is de update al gisteren geïnstalleerd. Kijk wel verder dan uw website: ook NAS-systemen en sommige firewalls draaien op PHP, en daar zijn nog niet overal updates voor. En omdat aanvallers al vóór de update bezig waren, is het verstandig de afgelopen week na te lopen op sporen van een inbraak.
Wat we nu weten
De stand van zaken op donderdag
Gisteren ging alles snel. Vandaag is er rust om te kijken wat er precies is gebeurd, en wat niet.
Veel pogingen, geen bevestigde inbraak
Cloudflare zag eerst duizenden, daarna miljoenen pogingen om het lek te misbruiken. Amazon spreekt van grootschalig misbruik. Toch heeft geen enkele partij een geslaagde inbraak bevestigd, en het NCSC ziet geen actief misbruik. Wel waarschuwen onderzoekers dat een geslaagde inbraak vaak pas later opvalt.
Aanvallers waren er eerder dan de update
Amazon zag de eerste aanvalspoging al op 17 oktober, vier dagen voordat PHP het lek bekendmaakte. De details lekten bovendien een dag voor de update uit. Wie zijn systemen pas gisteren bijwerkte, had dus een paar dagen open gestaan.
Niet alleen websites
QNAP adviseert om NAS-systemen voorlopig van internet te halen, en Palo Alto meldt dat bepaalde firewalls kwetsbaar zijn, nog zonder update. Fortinet en Cisco onderzoeken het nog. Juist dat soort apparaten staat bij veel kleine kantoren in de meterkast.
Oude versies blijven een probleem
Voor PHP 7.4, 8.0 en 8.1 zijn alleen beperkte reparaties verschenen, voor nog oudere versies niets. Volgens onderzoekers draait wereldwijd meer dan een miljoen servers op zo'n verouderde versie. Die zijn niet bij te werken, alleen te vervangen.
Wat u nu doet
Drie stappen voor deze week
Terugkijken vanaf 17 oktober
Laat de logboeken van uw website en server nakijken op ongewone verzoeken en op nieuwe bestanden die er niet horen. Zo ziet u of iemand al binnen is geweest voordat de update erop stond.
Verouderde sites vervangen
Draait een website op PHP 7.4 of ouder, dan komt het volgende lek net zo hard aan. Plan dan een nieuwe website op een actuele versie, met het onderhoud erbij. King Kong Web bouwt en onderhoudt websites, en SOSO Hosting zorgt voor bijgewerkte hosting.
Wat u kunt laten liggen
U hoeft niet alle wachtwoorden te wijzigen of uw website uit voorzorg offline te houden als de update erop staat en er geen sporen van een inbraak zijn. Het NCSC ziet geen aanwijzingen dat de update tekortschiet.
Vragen
Wat ondernemers ons hierover vragen
Is mijn website gehackt?
Waarschijnlijk niet, er is nog geen enkele geslaagde inbraak via dit lek bevestigd. Zekerheid krijgt u alleen door de logboeken en bestanden van uw website te laten controleren. Staat uw site bij SOSO Hosting en twijfelt u, bel ons dan.
Wij hebben een NAS van QNAP. Wat moeten we doen?
Volg het advies van QNAP: haal de NAS voorlopig van internet. Zet het doorsturen van poorten, UPnP en toegang via de cloud van QNAP uit, en gebruik een VPN als u er van buitenaf bij moet. Installeer de update zodra QNAP die uitbrengt.
Gaat dit nog vaker gebeuren?
Dat verwachten onderzoekers wel. Deze lekken zijn met behulp van AI gevonden, en dat maakt het zoeken naar zwakke plekken sneller. Websites die automatisch worden bijgewerkt en op een actuele versie draaien, zijn bij het volgende lek het snelst veilig.
Ook deze week
Ander nieuws dat u moet weten
Kritieke updates voor Fortinet
Fortinet bracht op 22 oktober kritieke updates uit voor onder meer FortiOS en FortiMail en adviseert ze meteen te installeren. Heeft u een Fortinet-firewall, laat die dan vandaag bijwerken.
Phishing via boekingssites neemt toe
De ACM waarschuwt dat oplichters via gekaapte hotelaccounts op reis- en boekingsplatformen gasten benaderen. Krijgt uw team een betaalverzoek via zo'n platform, controleer het dan eerst bij het hotel zelf.
Cloudplatform Railway gehackt
Bij het cloudplatform Railway zijn sleutels en inloggegevens van klanten gestolen. Gebruikt uw websitebouwer of softwareleverancier Railway, vraag dan of de sleutels zijn vervangen.
Bronnen: Computable, 22 oktober 2026; Security.NL over de eerste aanvallen op 17 oktober, 22 oktober 2026; het NCSC-advies NCSC-2026-0443; NOS, 22 oktober 2026; Security.NL over QNAP, Palo Alto, Fortinet, de ACM en Railway, 22 oktober 2026. Aantallen aanvalspogingen zijn meldingen van beveiligingsbedrijven, geen bevestigde inbraken. De uitleg en de maatregelen hierboven zijn van ons.
Weten of er bij u iets is gebeurd?
Wij kijken voor u na op welke PHP-versie uw website draait, of de update erop staat en of er sporen zijn van een inbraak sinds 17 oktober. Is uw website verouderd, dan maken we een voorstel voor vernieuwing.