Lek in PHP: websites tijdelijk offline

Op 20 oktober 2026 raakten details uit over twee kritieke beveiligingslekken in PHP, de programmeertaal achter een groot deel van alle websites (ook WordPress, Joomla en Drupal draaien erop). Via die lekken kan een aanvaller op afstand eigen code laten uitvoeren op een webserver, zonder in te loggen. Daarmee kan hij een website overnemen, aanpassen of er gegevens uit stelen.

De PHP-ontwikkelaars brachten op 21 oktober een beveiligingsupdate uit voor PHP 8.2 en nieuwer. Oudere versies krijgen geen officiële update meer. Ook CERT-EU, de cyberdienst van de Europese instellingen, waarschuwde voor de lekken.

Wat merk je ervan?

Uit voorzorg haalden veel organisaties hun websites tijdelijk offline. Volgens VRT NWS ging het onder meer om Smartschool, sites van de Vlaamse overheid en FOD Financiën, de rechtbanken, ziekenhuizen, VDAB en mediasites. Het Centrum voor Cybersecurity België (CCB) zag op 21 oktober nog geen aanvallen op Belgische websites en raadt organisaties aan de update zo snel mogelijk te installeren. Beveiligingsbedrijven zoals watchTowr melden wel de eerste pogingen om de lekken te misbruiken.

Voor jou als bezoeker betekent dat vooral: sommige sites zijn een tijd niet bereikbaar. Bij een website die niet op tijd bijgewerkt wordt, kunnen gegevens van klanten of leden gestolen worden. Zulke storingen en datalekken zijn voor oplichters vaak een aanleiding om valse berichten rond te sturen.

• Een mail, sms of WhatsApp die verwijst naar "het PHP-lek", "een storing" of "een beveiligingsincident" en je vraagt om in te loggen, je wachtwoord te wijzigen of iets te betalen via een link.
• Een bericht dat zegt dat je account geblokkeerd is of dat je gegevens opnieuw moeten bevestigd worden, met tijdsdruk ("binnen 24 uur").
• Een telefoontje van een 'helpdesk' die je computer wil nakijken of je vraagt een programma te installeren.
• Een website die er anders uitziet dan gewoonlijk, je plots doorstuurt naar een andere site of een vreemde melding toont om iets te downloaden.
• Is je eigen website of die van je vereniging traag, aangepast of onbereikbaar zonder dat jij iets deed? Dan kan ze misbruikt zijn.

• Kan je een site even niet bereiken? Wacht tot ze terug online is en ga ernaartoe via je bladwijzer of door het adres zelf in te tikken, niet via een link in een bericht.
• Klik niet op links in onverwachte berichten over de storing of het lek. Twijfel je, neem dan zelf contact op met de organisatie via haar officiële website of app.
• Stuur verdachte berichten door naar [email protected].
• Gebruik voor elke site een ander wachtwoord en zet waar mogelijk tweestapsverificatie aan. Lekt er toch iets uit, dan blijft de schade beperkt.
• Heb je zelf een website, voor je zaak, vereniging of hobby? Vraag je webbouwer of hostingbedrijf vandaag nog of PHP bijgewerkt is naar versie 8.5.12, 8.4.27, 8.3.36 of 8.2.35, en of je site nog een oudere PHP-versie gebruikt.