Aantal websites Rijksoverheid preventief offline na kwetsbaarheden PHP

Door 2 lekken in de software die op veel websites gebruikt wordt, zijn woensdag 21 oktober 2026 een aantal websites uit voorzorg offline gehaald. Ook een aantal websites van overheidsinstanties in Nederland.

15.15: Dit bericht wordt mogelijk aangevuld als er meer bekend is.

Problemen met PHP en mogelijk misbruik

Het Nationaal Cyber Security Centrum (NCSC) meldt 2 kwetsbaarheden in de programmeertaal PHP: Hypertext Preprocessor (PHP). Via deze kwetsbaarheden zouden kwaadwillenden iedere site/webserver waarop PHP draait, kunnen aanvallen. Op dit moment zijn er nog geen signalen dat de kwetsbaarheden actief misbruikt worden. Toch worden uit voorzorg meerdere websites offline gehaald. Bijvoorbeeld ook overheidswebsites als Overheid.nl, MijnOverheid.nl en Digid.

Oplossing vanmiddag verwacht

Er wordt vanmiddag een update verwacht die deze kwetsbaarheden in PHP gaat verhelpen. Het NCSC adviseert eigenaren van websites die gebruik maken van PHP om zelf een risicoafweging te maken en hun websites eventueel preventief offline te halen tot die update er is. Dit geldt ook voor Rijksoverheidsorganisaties. Zodra de update beschikbaar is, raadt het NCSC eigenaren van websites aan deze zo snel mogelijk door te voeren.

Op een groot deel van de websites van de Rijksoverheid, zoals Rijksoverheid.nl, wordt geen gebruik gemaakt van PHP. Deze kwetsbaarheid speelt dus niet op deze websites.