Diverse websites offline door kritieke kwetsbaarheden in PHP
Meerdere websites in Nederland zijn offline gehaald vanwege twee kritieke kwetsbaarheden in PHP, waaronder de sites van de Tweede Kamer en het NCSC. Ook delen van het SURF-netwerk liggen eruit. Het gaat om de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619, die volgens het Nationaal Cyber Security Centrum (NCSC) misbruik op afstand mogelijk maken. Later woensdag 21 oktober 2026 moeten patches verschijnen.
De PHP Foundation maakt de beveiligingsupdates naar verwachting op 21 oktober om 16.00 uur Nederlandse tijd bekend. Dat tijdstip kan worden vervroegd. Het NCSC raadt IT-beheerders en beveiligingsteams aan zich alvast voor te bereiden op de uitrol. Nadere details over de kwetsbaarheden volgen bij de release van de patch.
Overname van servers mogelijk
De kwetsbaarheden maken remote code execution (RCE) mogelijk, waarbij kwaadwillenden op afstand code kunnen uitvoeren op een kwetsbaar systeem. Volgens het NCSC kunnen webservers daardoor worden overgenomen. Websites kunnen onbereikbaar raken, gegevens kunnen lekken en functies zoals inloggen kunnen uitvallen. De kwetsbaarheden zitten vermoedelijk in alle huidige versies van PHP, en in elk geval vanaf versie 5.
Er is een openbare proof-of-concept beschikbaar. Het NCSC heeft tot nu toe geen actief misbruik waargenomen.
Eigen website NCSC tijdelijk uit de lucht
Het NCSC heeft uit voorzorg de eigen website, NCSC.NL, tijdelijk offline gehaald. De organisatie werkt aan een oplossing en wil de site zo snel mogelijk weer beschikbaar maken. Over de voortgang informeert het NCSC via LinkedIn.
CERT-EU, de cybersecurityorganisatie van de Europese Unie, adviseert organisaties alle PHP-gebaseerde toepassingen in kaart te brengen en klaar te staan om de updates direct na verschijnen te installeren. Waar direct patchen niet mogelijk is, raadt CERT-EU aan publiek toegankelijke internettoepassingen tijdelijk van het netwerk te isoleren totdat de update is doorgevoerd.
Meer over Internet
Over Wouter Hoeffnagel
