Nieuws 23 oktober 2026

PHP waarschuwt dat verouderde sites kwetsbaar blijven voor aanvallen

Websites die draaien op PHP en die niet zijn bijgewerkt naar de nieuwste versies, blijven kwetsbaar. Dat benadrukt de stichting achter de programmeertaal.

De PHP Foundation bracht op 21 oktober een patch uit voor de kwetsbaarheden in PHP, maar benadrukt geen updates meer uit te brengen voor oudere versies. "Oudere versies die niet zijn voorzien van de beveiligingspatch blijven kwetsbaar. Updaten is noodzakelijk", stelt de stichting tegen persbureau ANP.

Vanwege de ernst van de kwetsbaarheden heeft het beveiligingsteam wel aanpassingen gedaan aan de broncode van oudere versies. "Daarmee wil het team mensen helpen die de software zelf vanuit de broncode bouwen of geen toegang hebben tot een leverancier die langdurige ondersteuning biedt", aldus de PHP Foundation.

Structureel falen

Een oplossing voor de zwakke plek in programmeertaal PHP liet lang op zich wachten. Die vertraging was een "structureel falen", erkent de stichting.

Al in 2024 bestond het vermoeden dat een bepaalde kwetsbaarheid kon worden misbruikt. Maar het werk aan een fix liep telkens vast door een gebrek aan overeenstemming binnen het beveiligingsteam van PHP over de juiste oplossing en een relatief klein team van ontwikkelaars met de benodigde kennis.

Uitgelekte informatie

AI- en cyberbeveiligingsbedrijven wezen in de loop van dit jaar op de ernst van de zwakke plek, die veel organisaties nu noopte systemen, websites of apps uit de lucht te halen. Het was eigenlijk de bedoeling dat die kwetsbaarheden pas breed bekend zouden worden gemaakt na het verschijnen van een patch voor het probleem. Maar volgens de PHP Foundation lekte informatie over zwakke plekken uit, waarna die op sociale media begon te circuleren.

Aanvankelijk waren er geen aanwijzingen dat actief misbruik werd gemaakt van de kwetsbaarheden. Maar het Nationaal Cyber Security Centrum (NCSC) onderzoekt inmiddels de eerste signalen dat de kwetsbaarheden in PHP succesvol zijn misbruikt. Die signalen komen niet uit Nederland, stelt de instantie in een nieuwe update.

"De situatie kan snel verergeren", voegt het NCSC daaraan toe. "Door gebruik van artificiële intelligentie (AI) kunnen deze kwetsbaarheden mogelijk nog sneller worden misbruikt." Het centrum benadrukt de urgentie voor organisaties om snel beschikbare updates te installeren. 

Nog maanden gevolgen

De kwetsbaarheden in PHP gaan nog maanden gevolgen hebben, ook nu beveiligingsupdates beschikbaar zijn, waarschuwen cybersecurity-experts. Wereldwijd zal naar verwachting nog een enorm aantal systemen niet direct bijgewerkt worden. Hackers kunnen daar de komende tijd misbruik van maken.

"Een patch dicht het lek, maar maakt een eerdere inbraak niet ongedaan", stelt ethisch hacker Wouter van Dongen. "Veel systemen zullen nog lange tijd kwetsbaar blijven, omdat niet iedereen direct updatet en oudere PHP-versies geen officiële beveiligingsupdates meer krijgen. Hackers zullen actief naar die systemen blijven zoeken." Ook kunnen aanvallers volgens hem al een achterdeur hebben geplaatst. "Daarmee kunnen ze later opnieuw toegang krijgen, zelfs als de kwetsbaarheid inmiddels is verholpen."

Ook volgens Richard Verbeek van IT-dienstverlener Fellowmind betekent het installeren van een beveiligingsupdate niet automatisch dat een website weer veilig online kan gaan. Organisaties moeten eerst controleren of hackers niet al toegang hebben gehad. "Een beveiligingsupdate draait een eerdere inbraak niet terug. Juist daar zit het gevaar: bedrijven die opgelucht hun website weer aanzetten, zonder te weten of hun gegevens en achterliggende systemen veilig zijn."

Dat veel bedrijven de patch van PHP nu downloaden, leidt volgens de cyberexperts niet tot overbelasting.

Bron: ANP