Weten waar uw website staat
Zoek uit bij welke partij uw website, webshop of klantportaal wordt gehost. Vaak is dat een andere partij dan wie de site heeft gebouwd. Staat hij bij SOSO Hosting, dan regelen wij de update voor u.
Cybersecurity · 21 oktober 2026 · bijgewerkt 13:30
PHP draait achter bijna elke website. Vandaag komt de noodupdate.
Het beveiligingsteam van PHP brengt vandaag een noodupdate uit voor twee kritieke lekken, allebei met een ernstscore van 9,2 op 10. PHP is de techniek achter WordPress, de meeste webshops en veel klantportalen. Het lek is zo serieus dat onder meer DigiD, MijnOverheid, de Tweede Kamer en het NCSC hun websites uit voorzorg offline hebben gehaald. De update verschijnt om 16:00 uur Nederlandse tijd.
2 lekkenAllebei kritiek, score 9,2 van 10
16:00 uurOfficiële update van PHP
DigiDEn andere overheidssites uit voorzorg offline
UpdateDe enige echte oplossing
Update 13:30
Inmiddels hebben ook overheidsorganisaties hun websites uit voorzorg offline gehaald, waaronder DigiD, MijnOverheid, de Tweede Kamer en de Autoriteit Persoonsgegevens. Ook de nieuwssite van RTL, Tweakers, systemen in het hoger onderwijs en Notubiz, waarmee zo'n honderd gemeenten vergaderen, zijn tijdelijk uit de lucht. Volgens het NCSC is er nog geen actief misbruik gezien, maar is elk systeem met PHP dat vanaf internet bereikbaar is vermoedelijk kwetsbaar tot de update is geïnstalleerd. De officiële update blijft gepland voor 16:00 uur.
Kort
Draait uw website of webshop bij SOSO Hosting, dan hoeft u niets te doen. Op onze servers is vanochtend al een tijdelijke beschermende maatregel genomen, en de officiële update wordt direct na verschijnen met voorrang geïnstalleerd. Staat uw website ergens anders, vraag dan vandaag nog aan uw hostingpartij of de PHP-update van 21 oktober wordt geïnstalleerd, en wanneer.
Wat er speelt
Waarom dit lek meer raakt dan alleen websites
PHP is geen programma dat u zelf ziet. Het draait op de server, onder de website. Precies daarom vergeten veel ondernemers dat het bijgewerkt moet worden.
Bijna elke website draait erop
WordPress, WooCommerce, Magento, Joomla en een groot deel van de klantportalen en boekingssystemen zijn in PHP gebouwd. Wie een website heeft die niet door een groot platform wordt beheerd, gebruikt vrijwel zeker PHP.
Er is nog weinig bekend, en dat is bewust
PHP geeft de details pas vrij als de update er is, zodat aanvallers geen voorsprong krijgen. Wel zijn er inmiddels uitgelekte berichten over hoe het lek werkt. Daardoor is de kans groot dat er snel na de update misbruik volgt.
Een tijdelijke maatregel helpt, maar is niet genoeg
Hostingpartijen schakelen nu een onderdeel van PHP uit dat volgens de uitgelekte informatie bij het lek betrokken is. Dat verkleint het risico. Volgens meerdere beveiligingsonderzoekers lost alleen de officiële update het volledig op.
Oude PHP-versies blijven kwetsbaar
Draait een website nog op een versie die PHP niet meer ondersteunt, dan komt daar mogelijk geen update voor. Zo'n site moet naar een nieuwere versie, en dat is vaak meer werk dan alleen bijwerken.
Wat u nu doet
Drie stappen, de eerste vandaag
Vragen om een datum en tijd
Vraag uw hostingpartij of de PHP-update van 21 oktober wordt geïnstalleerd en wanneer. Een antwoord als "dat gebeurt automatisch" is pas genoeg met een datum erbij.
De PHP-versie laten controleren
Laat nagaan op welke PHP-versie uw site draait. Is die verouderd, plan dan een overstap naar een ondersteunde versie. Heeft u daar niemand voor, dan kan King Kong Web het onderhoud van uw website overnemen.
Wat u kunt laten liggen
U hoeft uw website niet uit voorzorg offline te halen of wachtwoorden te wijzigen. Het gaat om een fout in de server, niet om gestolen gegevens. Zorg vooral dat de update vandaag of morgen geïnstalleerd is.
Vragen
Wat ondernemers ons hierover vragen
Mijn website staat bij SOSO Hosting. Moet ik iets doen?
Nee. Op de servers is vanochtend preventief een tijdelijke maatregel genomen die het risico beperkt, en de officiële update van PHP wordt direct na verschijnen met hoge prioriteit geïnstalleerd. U merkt er niets van, behalve dat een voortgangsbalk bij het uploaden van bestanden tijdelijk kan ontbreken.
Hoe weet ik of mijn website PHP gebruikt?
Draait uw site op WordPress, WooCommerce, Magento of Joomla, dan gebruikt hij PHP. Weet u het niet zeker, vraag het dan aan wie de site heeft gebouwd of bel ons. Wij kunnen het meestal van buitenaf zien.
Geldt dit ook voor ons kantoornetwerk en Microsoft 365?
Nee. Microsoft 365, Windows-werkplekken en de meeste kantoorsoftware gebruiken geen PHP. Het gaat om servers waarop websites, webshops of webapplicaties draaien. Heeft u een eigen server met een intranet of klantportaal, laat die dan wel controleren.
Bronnen: PHP, aankondiging van 20 oktober 2026 over de beveiligingsupdate van 21 oktober 14:00 UTC, en de melding van het NCSC van 21 oktober 2026 dat de eigen website uit voorzorg offline is, en NOS, 21 oktober 2026, over de overheids- en andere websites die offline zijn gehaald. Hoe het lek werkt, is door PHP nog niet bevestigd. De uitleg en de maatregelen hierboven zijn van ons.
Draait uw website op een verouderde versie?
Dan is dit het moment om hem te laten vernieuwen: een veilige website op een actuele PHP-versie, met het onderhoud erbij, zodat u bij het volgende lek niets hoeft te doen. Vul het formulier in, dan nemen wij contact met u op. Twijfelt u alleen of uw huidige site veilig is, dan kijken wij daar ook zonder verplichting naar.