Status

Wat is er aan de hand?

Het gaat om twee kritieke kwetsbaarheden in PHP zelf, bekend onder de naam PHP2Shell (CVE-2026-109618 en CVE-2026-109619). Beide zijn door het PHP-team beoordeeld met een score van 9,2 op 10. Ze kunnen op afstand code laten uitvoeren op een server met PHP. Het bestaan ervan lekte op 20 oktober 2026 uit, voordat de officiële update klaar was.

Het PHP-team verwacht de beveiligingsupdate op 21 oktober 2026 om 14:00 UTC (16:00 Nederlandse tijd). Er is geen tijdelijke oplossing: bijwerken van PHP is de enige bevestigde maatregel. CERT-EU adviseert organisaties zich voor te bereiden en, als bijwerken niet direct kan, te overwegen internetdiensten tijdelijk af te schermen of offline te halen.

Uit voorzorg zijn volgens de berichtgeving al veel organisaties en bedrijven offline gegaan, onder andere MijnOverheid, de Tweede Kamer, RTL Nieuws en Tweakers (zie het overzicht hieronder). Het NCSC meldde op dat moment nog geen bevestigd misbruik, maar adviseert PHP zo snel mogelijk bij te werken.

Wees alert op e-mails die zich voordoen als uw hostingpartij en onder het mom van een dringende beveiligingsupdate om inloggegevens vragen.

Wie is er nog meer offline?

Overheid en publieke diensten

• MijnOverheid
• RIVM (volgens NU.nl)
• DigiD (volgens NOS uit de lucht, andere bronnen schrijven dat DigiD bruikbaar blijft)
• De website van de Tweede Kamer
• NCSC, het Nationaal Cyber Security Centrum
• Autoriteit Persoonsgegevens
• NotuBiz, het platform voor ongeveer honderd overheidsorganisaties
• Veel gemeentewebsites in de provincie Utrecht

Nieuws en media

• RTL Nieuws, website en app
• Tweakers
• ANP, delen van de systemen
• Security.nl
• DPG Media in België, meerdere sites

Politiek

• Websites van onder meer VVD, CDA, PRO, BBB, PvdD, D66, SGP, ChristenUnie, DENK en JA21 (volgens het Reformatorisch Dagblad tijdelijk preventief offline)

Zorg en overig

• St. Antonius Ziekenhuis en het patientenportaal Mijn Antonius
• De Schiphol-app toont geen actuele vluchtinformatie meer
• ANWB (volgens NU.nl)
• The SEO Framework, internationaal

Dit is een momentopname uit de berichtgeving van 21 oktober 2026 en geen volledige lijst. Wij hebben dit niet zelf gecontroleerd. Alle genoemde sites en diensten zijn uit voorzorg offline gehaald of hebben beperkingen, en deze situatie verandert snel.

Updates

1. 21 oktober 2026, 18:45

   Alles is weer online

   Wij hebben zoveel mogelijk websites gecontroleerd. Mogelijk hebben wij iets niet gezien, maar alles is weer online. Controleer ook zelf even uw website. Kijk bijvoorbeeld of de pagina's goed laden en of uw contactformulier en eventuele webshop werken. Werkt er iets niet? Mail ons dan op info@netron.nl, dan bekijken wij het zo snel mogelijk. Vermeld uw website-adres en wat er niet werkt, dan kunnen wij u sneller helpen. Iedereen bedankt voor het begrip en het geduld vandaag. Wij blijven de komende tijd extra alert.

2. 21 oktober 2026, 16:45

   Alle servers zijn weer online en bijgewerkt

   Server 5 is ook weer online. Alle servers zijn weer voorzien van de nieuwe versie en beveiliging. Werkt uw website nog niet? Mail dan naar info@netron.nl, dan bekijken wij dit zo snel mogelijk. Iedereen bedankt voor het begrip en het geduld. Wij werken nu nog even hard door om alles te controleren.

3. 21 oktober 2026, 16:38

   Server 9 is weer online

   Server 9 is weer online. Wij zijn nog bezig met server 5.

4. 21 oktober 2026, 16:23

   Wij wachten op de updates van CloudLinux

   Wij wachten nog op de updates van onze leverancier CloudLinux. Zij zijn nog bezig om de patch te verwerken. Zodra zij klaar zijn, installeren wij de update en zetten wij de websites weer online.

5. 21 oktober 2026, 15:45

   De PHP-update is er, wij zijn aan het updaten

   De beveiligingsupdate van PHP is er. Wij zijn nu bezig met updaten. Wij hopen dit zo snel mogelijk te doen en de websites weer online te zetten. Werkt uw site daarna niet meer zoals voorheen? Heb dan even geduld, wij zijn druk met controleren. Het kan zijn dat uw site goed draaide op een oude PHP-versie en niet op de nieuwe. Het is daarom ook belangrijk dat u zelf uw site controleert.

6. 21 oktober 2026, 15:00

   Wat weten we nu?

   Het lek is heel gevaarlijk: 9,2 op een schaal van 10, en een aanvaller hoeft niet in te loggen. Er is nog niemand gezien die het lek echt gebruikt om in te breken, dat melden meerdere bronnen, en het staat niet op de lijst van het Amerikaanse CISA met lekken die al worden misbruikt. Er ligt wel een voorbeeldaanval op internet. Of die echt werkt, is niet bevestigd. Wij proberen dat niet uit. Wat er precies fout zit in PHP is nog niet bevestigd. Alle klantwebsites blijven offline. Zodra de reparatie er is, installeren wij die en zetten we de websites weer online. U hoeft zelf niets te doen.

7. 21 oktober 2026, 14:19

   Overzicht van offline websites toegevoegd

   Wij hebben hieronder een overzicht toegevoegd van organisaties die volgens de berichtgeving uit voorzorg offline zijn gehaald, zoals MijnOverheid, de Tweede Kamer, RTL Nieuws en Tweakers.

8. 21 oktober 2026, 14:15

   Alle klantwebsites zijn offline

   Alle klantwebsites zijn offline. Wij zijn druk bezig met het informeren van klanten. Zodra de patch beschikbaar is, installeren wij deze. U hoeft zelf niets te doen. Na de patch zetten wij de websites weer online.

9. 21 oktober 2026, 13:30

   Klantwebsites worden offline gehaald

   Wij zijn bezig om websites van klanten tijdelijk offline te halen en te vervangen door een nette statusmelding. Er wordt steeds meer bekend over de kwetsbaarheid en wij kunnen niet langer garanderen dat het veilig blijft.

10. 21 oktober 2026, 13:15

    Webserver draait op de nieuwste beschikbare versie

    Onze webserver draait momenteel op de nieuwste beschikbare versie van PHP. Wij wachten op de beveiligingsupdate van PHP en installeren die zo snel mogelijk na het verschijnen.

11. 21 oktober 2026, 12:25

    Melding geplaatst

    Wij zijn op de hoogte van een kritieke kwetsbaarheid in PHP (“php2shell”), bevestigd door CERT-EU. De officiële beveiligingsupdate van PHP wordt vandaag verwacht en wordt na het verschijnen zo snel mogelijk op onze servers geïnstalleerd.

Bronnen

• NU.nl liveblog: van RIVM tot ANWB, steeds meer websites offline vanwege kwetsbaar PHP
• NOS liveblog: RTL Nieuws, DigiD en MijnOverheid uit de lucht
• Bright: veel websites offline vanwege kwetsbaarheid in PHP
• RTV Utrecht liveblog: veel gemeentelijke sites uit de lucht, ook ziekenhuis getroffen
• Reformatorisch Dagblad: allerlei websites offline om waarschuwing PHP
• NL Times: Dutch parliament website taken offline
• CERT-EU, Security Advisory 2026-018 (adviezen op cert.europa.eu)
• NCSC, Nationaal Cyber Security Centrum
• NOS: websites als MijnOverheid en DigiD offline vanwege lek
• Patchstack: major security alert, PHP vulnerable to critical RCE
• SecurityWeek: PHP2Shell, mass exploitation looms for leaked critical PHP flaws
• Huntress: rapid response, php2shell
• Sansec: critical PHP RCE CVE-2026-109618 and CVE-2026-109619

Alleen bij noodzakelijke vragen over deze melding: bel +31 (0)85 246 1600 of mail info@netron.nl. Andere vragen vertragen de werkzaamheden aan de beveiliging, wij vragen u daarom hier even mee te wachten.