Terugblik: de PHP-update van 21 oktober

Woensdag 21 oktober 2026 was een vreemde dag op internet. MijnOverheid, DigiD, ziekenhuizen, nieuwssites en duizenden andere websites gingen uit voorzorg op zwart. Ook een deel van ons platform was urenlang offline. In dit verhaal lees je wat er precies gebeurde, waarom het zo lang duurde en wat we ervan meenemen.

Wat was er aan de hand?

In de nacht van dinsdag op woensdag kondigde het beveiligingsteam van PHP aan dat er twee ernstige lekken waren gevonden in de taal zelf. PHP is de software waarop het grootste deel van alle websites draait, van WordPress tot maatwerk. De lekken kregen de codes CVE-2026-109618 en CVE-2026-109619 en de hoogste ernstklasse: een aanvaller kon er op afstand code mee uitvoeren op een server. Erger wordt het eigenlijk niet.

De fix zou woensdag om 16:00 uur Nederlandse tijd verschijnen. Tot die tijd wist de hele wereld dat er een gat zat, maar nog niet precies waar. Dat is het moment waarop je als hoster een keuze moet maken: open blijven en hopen dat niemand het gat vindt, of de deur dichtdoen tot de slotenmaker er is.

Waarom wij de deur dichtdeden

Vergelijk het met een inbraakwaarschuwing voor een hele wijk. Je weet dat er iemand rondloopt met een sleutel die op veel sloten past. Dan laat je je voordeur niet open staan omdat het toevallig een drukke dag is. Daarom hebben we woensdagmiddag een deel van onze webservers tijdelijk offline gehaald, net als veel andere partijen in Nederland. Websites, webshops en applicaties op die servers waren daardoor een tijd niet bereikbaar.

E-mail en webmail draaiden gewoon door, want die staan op aparte servers die niets met dit lek te maken hadden. En het belangrijkste: de gegevens van onze klanten zijn op geen enkel moment in gevaar geweest. We hebben de servers juist uitgezet voordat iemand misbruik kon maken. Er is bij ons geen enkele aanwijzing van een inbraak of datalek, en ook wereldwijd is tot nu toe geen misbruik van deze lekken vastgesteld.

Wachten op de leverancier

Hier wordt het verhaal wat technischer. Onze servers draaien niet op de kale PHP van php.net, maar op PHP-pakketten van een externe leverancier. Die bouwt voor elk besturingssysteem en elke PHP-versie een eigen, getest pakket, zodat wij updates veilig en zonder verrassingen kunnen installeren. In normale tijden is dat een groot voordeel. Op een dag als woensdag betekent het dat je afhankelijk bent van hun tempo.

Zo zag de middag en avond eruit:

• 16:00 uur: PHP brengt de updates uit. Vanaf dit moment kunnen leveranciers aan hun eigen pakketten beginnen.
• 16:39 uur: onze leverancier belooft de pakketten uiterlijk om 21:00 uur.
• 16:55 uur: die belofte wordt bijgesteld naar “ongeveer vijf uur”, dus rond 22:00 uur.
• 22:18 uur: een nieuwe planning. Het grootste deel rond 23:15 uur, de nieuwste PHP-versie pas rond half een ’s nachts.

Twee keer uitgesteld dus. Wie de hele dag op de statuspagina zat te wachten, en dat deden wij, zag de klok steeds verder opschuiven. Dat was frustrerend, voor ons en voor jou. Tegelijk begrijpen we het ook: zij moesten in een paar uur tientallen pakketten bouwen en testen voor een hele reeks systemen, en een fout daarin had de schade groter gemaakt.

Wat we zelf deden

Stilzitten is niets voor ons. In de loop van woensdagavond hebben we een eigen tijdelijke oplossing uitgewerkt en doorgevoerd, waarmee het lek op onze servers werd afgeschermd zonder de officiële pakketten. Daarmee konden we veilig beginnen met het weer online zetten.

Later op de avond en in de nacht kwamen de pakketten van de leverancier alsnog binnen. We hebben ze direct geïnstalleerd, server voor server, en elke server gecontroleerd voordat hij weer open ging. Inmiddels draait alles op de bijgewerkte PHP-versies en is het hele platform weer online. Je hoeft zelf niets te doen.

Wat we ervan meenemen

De keuze om offline te gaan zouden we morgen weer maken. Een paar uur onbereikbaar is vervelend, een gehackte webshop is een ramp. Wat we wel anders willen, is de tijd dat we moesten wachten. Daarom kijken we de komende weken naar twee dingen: hoe we bij een volgende keer sneller een eigen noodoplossing klaar hebben, en of we voor dit soort situaties minder afhankelijk kunnen zijn van de planning van een leverancier.

Bedankt voor je geduld. Heb je nog vragen over wat dit voor jouw website betekent? Bel of mail ons gerust, dan nemen we het rustig met je door.

Meer achtergrond: het liveblog van NU.nl en de toelichting van onze leverancier CloudLinux.