Er zijn twee ernstige beveiligingslekken ontdekt in PHP, software waarop veel websites en webapplicaties draaien. Om onze klanten en hun gegevens te beschermen, halen wij de getroffen websites en applicaties uit voorzorg tijdelijk offline. Op deze pagina houden wij je op de hoogte van de situatie en onze vervolgstappen.
Update: 13:30
Inmiddels zijn ook websites van grote instanties offline. Denk aan rtlnieuws.nl maar ook aan applicaties zoals DigiD, MijnOverheid of de website van rivm.nl en meerdere provincies.
Actuele status: 21 oktober 2026
De beveiligingsupdate is aangekondigd voor vandaag om 16.00 uur Nederlandse tijd. Zodra de update beschikbaar is, voeren wij deze zo snel mogelijk door. Daarna controleren wij de getroffen websites en applicaties voordat deze weer online gaan. Het moment waarop alles weer bereikbaar is, staat daarom nog niet vast.
Wat is er aan de hand?
De kwetsbaarheden staan bekend als CVE-2026-109618 en CVE-2026-109619. Beide hebben een ernstscore van 9,2 op een schaal van 10.
Door deze lekken kunnen aanvallers mogelijk op afstand eigen code uitvoeren op kwetsbare servers. Daarmee kunnen zij toegang krijgen tot systemen en gegevens, met het risico dat zij de controle overnemen. De precieze technische details en de officieel getroffen PHP-versies worden samen met de beveiligingsupdate bekendgemaakt.
PHP wordt gebruikt voor onder meer WordPress-websites, webshops en maatwerkapplicaties. Volgens W3Techs gebruikt bijna 70% van de websites waarvan de programmeertaal aan de serverkant bekend is, PHP. De mogelijke impact is daardoor groot.
Cloudflare meldt de eerste aanvallen
Ook het AD besteedt aandacht aan de PHP-kwetsbaarheden en NU heeft er inmiddels ook een uitgebreid artikel overgeschreven. Volgens berichtgeving van Reuters meldt beveiligingsbedrijf Cloudflare dat de eerste aanvallen opkomen. Het bedrijf past zijn beveiligingsregels aan om aanvallen tegen te houden.
Cloudflare benadrukt dat deze maatregelen tijdelijk zijn. Het installeren van de PHP-beveiligingsupdate blijft nodig zodra deze beschikbaar is.
Waarom halen wij websites tijdelijk offline?
Zolang de beveiligingsupdate nog niet beschikbaar en geïnstalleerd is, willen wij het risico voor onze klanten zo veel mogelijk beperken. Daarom halen wij de getroffen websites en webapplicaties tijdelijk offline.
Deze voorzorgsmaatregel sluit aan bij het advies van CERT-EU. Deze Europese cybersecurityorganisatie adviseert om kwetsbare systemen snel bij te werken en, wanneer dat nog niet kan, te overwegen deze tijdelijk af te schermen van het openbare internet.
Wij begrijpen dat een onbereikbare website gevolgen kan hebben voor jouw bedrijf. Bezoekers kunnen je website niet gebruiken en bij een webshop kunnen bestellingen tijdelijk stilvallen. We nemen deze maatregel om jouw website en gegevens te beschermen en werken eraan om de onderbreking zo kort mogelijk te houden.
Wanneer gaat jouw website weer online?
Zodra de beveiligingsupdate beschikbaar is, voeren wij deze zo snel mogelijk door. Daarna controleren wij of de update is toegepast en of de website of applicatie goed functioneert. Vervolgens brengen wij de getroffen omgevingen weer online.
16.00 uur is het aangekondigde moment waarop PHP de update uitbrengt. De installatie en controles kosten daarna nog tijd. We kunnen daarom vooraf geen exact tijdstip noemen waarop jouw website weer bereikbaar is.
Via deze pagina houden wij je op de hoogte
Wij werken dit bericht bij zodra er nieuws is over de beveiligingsupdate, de installatie en het weer online brengen van de getroffen websites en applicaties.
De website van Dynalogical draait niet op PHP en blijft bereikbaar. Je kunt deze pagina dus blijven bezoeken voor updates over de situatie.
Heb je vragen over jouw website of applicatie? Neem dan contact met ons op.
