Het Nationaal Cyber Security Centrum (NCSC) waarschuwde op 21 oktober voor twee kritieke kwetsbaarheden in PHP, een veelgebruikte programmeertaal voor websites, webshops en webapplicaties. Verschillende organisaties haalden hun websites uit voorzorg offline. Inmiddels zijn beveiligingsupdates beschikbaar, maar het NCSC benadrukt dat snel handelen noodzakelijk blijft. Wat is er precies aan de hand en wat betekent dit voor jouw organisatie?
Wat is er gebeurd?
Op 21 oktober 2026 werd bekend dat twee ernstige kwetsbaarheden zijn ontdekt in PHP. Deze kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619, kunnen onder bepaalde omstandigheden door cybercriminelen worden misbruikt om op afstand code uit te voeren en mogelijk systemen over te nemen.
De waarschuwing leidde tot preventieve maatregelen bij verschillende organisaties. Zo haalde ook het NCSC tijdelijk zijn eigen website offline om mogelijke risico’s te beperken.
De kwetsbaarheden zijn relevant omdat PHP wereldwijd wordt gebruikt voor websites, webshops en bedrijfsapplicaties. Denk aan omgevingen die draaien op bijvoorbeeld Magento, Shopware of WooCommerce, maar ook aan maatwerkapplicaties en interne bedrijfsportalen.
Is het gevaar inmiddels geweken?
Inmiddels zijn beveiligingsupdates beschikbaar en zijn verschillende websites weer online. Volgens de laatste update van het NCSC op 22 oktober zijn er op dit moment geen aanwijzingen dat de kwetsbaarheden succesvol zijn misbruikt.
Dat betekent echter niet dat het risico verdwenen is.
Zolang kwetsbare systemen niet zijn bijgewerkt, blijft misbruik mogelijk. Het NCSC adviseert organisaties daarom om beschikbare beveiligingsupdates zo snel mogelijk te installeren en systemen die nog kwetsbaar zijn uit voorzorg offline te houden.
Wat betekent dit voor jouw organisatie?
Niet iedere organisatie die PHP gebruikt, is automatisch kwetsbaar. De daadwerkelijke risico’s hangen onder andere af van de gebruikte PHP-versie, de software en de inrichting van de omgeving.
Het is daarom belangrijk om samen met je websitebeheerder, hostingpartij of applicatieleverancier te controleren:
- Gebruik van PHP: Welke websites, webshops of applicaties binnen de organisatie maken gebruik van PHP?
- Kwetsbaarheid: Welke PHP-versies worden gebruikt en vallen deze onder de getroffen versies?
- Beveiligingsupdates: Zijn de benodigde patches beschikbaar en inmiddels geïnstalleerd?
- Aanvullende maatregelen: Zijn er systemen waarvoor tijdelijke beschermingsmaatregelen of het offline halen noodzakelijk zijn?
Controleer welke maatregelen nodig zijn
Het NCSC heeft een beslisboom gepubliceerd die organisaties helpt te bepalen welke acties nodig zijn om de risico’s van de PHP-kwetsbaarheden te beperken. Bekijk de beslisboom en bespreek de uitkomsten waar nodig met je hostingpartij, applicatiebeheerder of IT-partner.
Hoe Becs IT Services jou kan helpen
Dit incident laat opnieuw zien hoe belangrijk het is om inzicht te hebben in de technologieën waarop jouw organisatie vertrouwt. Websites, applicaties en IT-infrastructuur worden vaak door verschillende partijen beheerd. Juist bij ernstige beveiligingskwetsbaarheden is het belangrijk dat duidelijk is wie waarvoor verantwoordelijk is.
Hoewel Becs IT Services niet standaard PHP-omgevingen beheert, volgen wij belangrijke beveiligingsontwikkelingen zoals deze nauwgezet. Wij begrijpen dat het voor organisaties niet altijd eenvoudig is om te bepalen welke systemen geraakt kunnen worden en welke acties nodig zijn.
Daarom ondersteunen wij onze klanten graag bij het beoordelen van de situatie, het leggen van contact met leveranciers en het coördineren van de benodigde vervolgstappen. Als betrouwbare IT-partner denken wij mee, adviseren wij waar mogelijk en zorgen wij ervoor dat u snel bij de juiste partij terechtkomt.
Cybersecurity is een gezamenlijke verantwoordelijkheid. Wanneer er belangrijke dreigingen aan het licht komen, staan wij klaar om onze klanten te helpen bij het verkrijgen van inzicht, het beperken van risico’s en het waarborgen van de continuïteit van hun IT-omgeving.
Meer informatie: Lees de actuele waarschuwing en het advies van het NCSC.
