Op 21 oktober 2026 werden twee lekken in PHP bekend, de programmeertaal waar veel websites op draaien. Door deze kwetsbaarheid zouden kwaadwillenden iedere website met PHP kunnen aanvallen. Daarom gingen onder meer DigiD en MijnOverheid.nl uit voorzorg offline.
Wat is PHP?
PHP is een programmeertaal waarmee websites en webapplicaties worden gebouwd. Als bezoeker zie je er niets van, want het draait op de server: de computer waar de website op staat. PHP zorgt er onder meer voor dat je kunt inloggen en betalen.
Het wordt veel gebruikt. Van alle websites waarvan bekend is welke programmeertaal ze op de server gebruiken, draait 69,3% op PHP (W3Techs, stand 21 oktober 2026).
Wat houdt de PHP-kwetsbaarheid in?
Door de fout kan iemand van buitenaf met één eenvoudig verzoek eigen opdrachten op de server laten uitvoeren, zonder in te loggen. Vergelijk het met een achterdeur die openstaat: wie hem vindt, loopt zo naar binnen. Het PHP-team noemt beide lekken kritiek.
Waarom gingen websites offline?
Toen de lekken bekend werden, was er nog geen update. Het NCSC adviseerde eigenaren van websites om zelf een risicoafweging te maken en hun site eventueel offline te halen tot de update er was. Zo ging ook de website van het NCSC zelf uit de lucht.
Voor bezoekers leek het een storing, maar deze sites waren uit voorzorg uitgezet. De update kwam later op de dag.
Moet je zelf iets doen?
Als bezoeker niet. Heb je zelf een website, vraag dan aan je webbouwer of hostingprovider of PHP al is bijgewerkt.
Had Tiemdo er last van?
Nee. De personeelsplanning en urenregistratie van Tiemdo draaien niet op PHP. Tiemdo was op 21 oktober de hele dag bereikbaar.
Bron: NCSC: Ernstige kwetsbaarheden in PHP en Aantal websites Rijksoverheid preventief offline, Rijksoverheid, 21 oktober 2026 · PHP Security Advisory, php.net, 21 oktober 2026 · W3Techs, gebruik van PHP, 21 oktober 2026