Kritiek PHP-lek (oktober 2026): opgelost

Opgelost: alle websites weer online

De beveiligingsupdate voor PHP is op al onze servers geïnstalleerd, en we hebben per server gecontroleerd of de websites goed werken. Sinds de vroege ochtend van 22 oktober zijn alle websites weer online.

Er heeft op onze servers geen hack plaatsgevonden, en we hebben geen aanwijzingen van misbruik gevonden.

Wat er aan de hand was

PHP is de programmeertaal waarop onder andere WordPress draait. Wereldwijd gebruikt ongeveer 70 procent van alle websites PHP. Onderzoekers vonden twee ernstige lekken (CVE-2026-109618 en CVE-2026-109619). Daarmee kon iemand op afstand code uitvoeren op een webserver, zonder in te loggen.

Normaal gaat zo’n update stil: het PHP-team maakt de reparatie, deelt die vooraf met de leveranciers van serversoftware, en op een afgesproken moment komt alles tegelijk uit. Deze keer liep dat mis. Een van de ontdekkers publiceerde te vroeg een video met details, en een ander bedrijf bracht de gerepareerde versie zes uur voor het afgesproken moment naar buiten. Daardoor was de informatie al openbaar terwijl de meeste leveranciers hun updates nog niet klaar hadden. Overal ter wereld haalden organisaties hun websites uit voorzorg offline, waaronder DigiD, de Tweede Kamer en Tweakers.

Waarom we offline gingen, en waarom het tot de nacht duurde

Op 21 oktober hebben we eerst alles gedaan om de websites veilig online te houden: extra bewaking, een blokkade van de bekende aanvalspatronen en het overzetten van websites naar een nieuwere PHP-versie. Toen duidelijk werd hoe groot het risico was, hebben we besloten de servers tijdelijk offline te halen.

PHP bracht de update om 16:00 uit. Onze servers draaien op CloudLinux, een besturingssysteem dat speciaal is gemaakt voor webservers waarop veel websites naast elkaar draaien. CloudLinux levert zijn eigen PHP-versies, en die moesten de update eerst verwerken. Om 21:00 meldde CloudLinux dat de update klaar was, maar later op de avond bleek dat die nog niet gold voor de versie die onze servers gebruiken. De juiste pakketten kwamen pas na middernacht beschikbaar. We hebben bewust gewacht tot alles was bijgewerkt, in plaats van eerder online te gaan met een halve oplossing.

Tijdlijn

• 20 oktober, 23:12: PHP kondigt een beveiligingsupdate aan. Onze servers en websites werden toen al continu bewaakt.
• 21 oktober, 12:00: extra bewaking op al onze servers en websites overgezet naar PHP 8.3. Waar nodig hebben we WordPress, plugins en code bijgewerkt, en elke website vooraf en achteraf getest.
• 14:00: extra beveiliging die bekende aanvalspatronen blokkeert voordat ze de website bereiken.
• Rond 15:30: servers tijdelijk offline.
• 16:00: PHP brengt de update uit.
• 21:00: CloudLinux meldt dat de update klaar is. Later die avond blijkt dat die nog niet geldt voor onze servers.
• 22 oktober, 00:30: CloudLinux brengt de juiste pakketten voor onze servers uit.
• 01:20 tot 02:45: de update is op al onze servers geïnstalleerd.
• Rond 05:00: alle websites gecontroleerd en weer online.

Wat we blijven doen

De komende dagen houden we de extra bewaking en beveiliging aan. Bij zo’n groot lek komen er soms nog vervolgupdates. Die installeren we direct.

Je kunt de status van onze diensten altijd volgen op status.fresh-dev.nl. Op die pagina plaatsen we voortaan ook updates bij storingen en onderhoud.

Moet je zelf iets doen?

Nee. Werkt er iets niet zoals je gewend bent, laat het ons dan weten via info@fresh-dev.nl, dan kijken we er direct naar.