Waarom DigiD, MijnOverheid en andere websites vandaag offline gingen
Twee kritieke PHP-lekken brachten veel publieke websites in gevaar. Dit is wat er gebeurde, waarom diensten preventief offline gingen en wat website-eigenaren nu moeten doen.
Omar Geerman
Op 21 oktober 2026 gingen verschillende bekende websites plotseling offline. Onder meer DigiD, MijnOverheid, Overheid.nl en de website van het Nationaal Cyber Security Centrum waren tijdelijk niet bereikbaar. De directe aanleiding was geen bevestigde hack, maar de ontdekking van twee kritieke kwetsbaarheden in PHP, de programmeertaal waarop een groot deel van het web draait.
Offline gaan was in dit geval geen storing, maar een bewuste veiligheidsmaatregel.
Wat is PHP en waarom raakt dit zoveel websites?
PHP draait op de server en verwerkt bijvoorbeeld formulieren, logins, betalingen en databaseverzoeken. Het wordt gebruikt door maatwerkapplicaties en populaire contentmanagementsystemen. Een kwetsbaarheid in PHP zelf kan daardoor veel verschillende websites tegelijk raken, zelfs wanneer hun eigen applicatiecode zorgvuldig is gebouwd.
Twee lekken met risico op overname van de server
De kwetsbaarheden kregen de codes CVE-2026-109618 en CVE-2026-109619. Beide zijn beoordeeld met een CVSS-score van 9,2. Ze kunnen een aanvaller zonder account in staat stellen om op afstand eigen code op de server uit te voeren. Dat heet remote code execution en geldt als een van de ernstigste typen beveiligingslekken.
- CVE-2026-109618 misbruikt foutafhandeling wanneer PHP tijdens een verzoek zonder beschikbaar geheugen komt te zitten.
- CVE-2026-109619 kan achtergebleven interne gegevens uit een eerder verzoek opnieuw laten gebruiken nadat het bijbehorende geheugen al is vrijgegeven.
- Volgens het PHP Security Team lopen alle PHP-installaties die webverzoeken verwerken risico; voor Apache met mod_php is een werkende aanval aangetoond die vóór de applicatiecode kan plaatsvinden.
Waarom werden publieke diensten offline gehaald?
Voordat de beveiligingsupdates beschikbaar waren, konden beheerders het risico niet volledig wegnemen. Het NCSC adviseerde daarom per internettoegankelijk PHP-systeem een risicoafweging te maken en waar nodig de dienst tijdelijk uit te schakelen. Voor organisaties die gevoelige persoonsgegevens verwerken, was tijdelijk niet bereikbaar zijn veiliger dan het risico lopen dat een aanvaller toegang tot de server krijgt.
De Rijksoverheid meldde dat onder meer Overheid.nl, MijnOverheid.nl en DigiD uit voorzorg offline gingen. Ook andere overheidsorganisaties, onderwijsinstellingen en commerciële websites namen maatregelen. Dat websites tegelijk uitvielen, betekent dus niet dat ze allemaal waren gehackt; veel organisaties kozen juist vroeg voor beperking van het risico.
Zijn er persoonsgegevens gestolen?
Op het moment van publicatie meldde het NCSC geen signalen van actief misbruik. Er was wel publieke proof-of-conceptcode beschikbaar, waardoor snel handelen noodzakelijk was. Afwezigheid van waargenomen misbruik is niet hetzelfde als bewijs dat er nergens misbruik heeft plaatsgevonden. Organisaties moeten daarom niet alleen patchen, maar ook hun logbestanden en systemen controleren op afwijkend gedrag.
De beveiligingsupdates zijn beschikbaar
Het PHP Security Team heeft PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uitgebracht. Deze versies verhelpen beide kritieke kwetsbaarheden. PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund. Sommige Linuxdistributies en leveranciers met langdurige ondersteuning leveren eigen backports, maar anders is een upgrade naar een ondersteunde versie noodzakelijk.
Wat website-eigenaren nu moeten doen
- Breng alle publieke websites, API's en beheersystemen in kaart die PHP gebruiken.
- Controleer de PHP-versie en de manier waarop PHP webverzoeken afhandelt.
- Installeer direct een gepatchte versie van PHP of de beveiligingsupdate van de leverancier.
- Herstart PHP-workers en webservers zoals voorgeschreven en test daarna de belangrijkste gebruikersroutes.
- Controleer server-, applicatie- en toegangslogs op onverwachte POST-verzoeken, fouten en procesgedrag.
- Gebruik tijdelijke mitigaties alleen als overbrugging; volgens het PHP-team is uitsluitend updaten een volledige oplossing.
De bredere les
Deze gebeurtenis laat zien dat continuïteit niet alleen draait om uptime. Soms is een gecontroleerde onderbreking de veiligste keuze. Goed beheer betekent weten welke technologie waar draait, ondersteunde versies gebruiken, updates snel kunnen uitrollen en vooraf bepalen wie bij een ernstig incident de beslissing neemt om een dienst tijdelijk uit te schakelen.
Bronnen
- PHP Security Team — Critical remote code execution vulnerabilities, update now
- NCSC — Ernstige kwetsbaarheden in PHP
- Rijksoverheid — Aantal websites preventief offline
- CERT-EU — Security Advisory 2026-018
Hulp nodig met een PHP-website?
Gebruik je WordPress, WooCommerce of een maatwerkplatform op PHP en weet je niet zeker of de omgeving veilig en actueel is? Geerman Web Solutions kan de PHP-versie en hosting controleren, patches of een migratie uitvoeren, belangrijke gebruikersroutes testen en beoordelen of logonderzoek nodig is. Neem contact op voor een concrete controle en een duidelijk vervolgadvies.