Woensdag 21 oktober 2026 was een bijzondere dag voor ICT-dienstverleners, hostingbedrijven en websitebeheerders. Twee kritieke beveiligingslekken in PHP veroorzaakten grote onrust. Websites werden uit voorzorg uitgeschakeld en organisaties moesten snel handelen. Ook bij Crooijmans ICT namen we ingrijpende maatregelen om de veiligheid van onze klanten te waarborgen. Een dag later blikken we terug.

Een kwetsbaarheid met grote gevolgen

PHP is een programmeertaal die wereldwijd wordt gebruikt voor websites en webapplicaties. Onder andere WordPress maakt gebruik van PHP. Op woensdag 21 oktober werd gewaarschuwd voor twee ernstige beveiligingskwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Deze konden onder bepaalde omstandigheden kwaadwillenden de mogelijkheid geven om op afstand toegang te krijgen tot kwetsbare systemen.

Het Nationaal Cyber Security Centrum (NCSC) waarschuwde voor de risico’s. Verschillende Nederlandse overheidsdiensten gingen uit voorzorg offline. Zelfs belangrijke websites als MijnOverheid en DigiD werden tijdelijk uitgeschakeld. De boodschap was duidelijk: wachten op een mogelijke aanval was geen optie.

Ook Crooijmans ICT greep direct in

We besloten we uit voorzorg onze webservers uit te schakelen. Daarmee voorkwamen we dat kwetsbare websites en toepassingen vanaf het internet bereikbaar bleven zolang de veiligheid niet voldoende kon worden gegarandeerd.

Ook de telefoonkoppeling werd preventief uitgeschakeld. Deze koppeling zorgt normaal gesproken voor de integratie tussen telefonie en bijvoorbeeld Animana. Door de koppeling tijdelijk buiten gebruik te stellen, beperkten we mogelijke risico’s. Ons eigen klantenportaal is eveneens korte tijd offline geweest. Het waren ingrijpende maatregelen, maar bij een kwetsbaarheid met mogelijk zulke grote gevolgen staat de veiligheid van systemen en klantgegevens voorop.

Niet alle diensten werden geraakt

Gelukkig was de impact op onze overige dienstverlening beperkt. Onze afsprakenmodule Afspraak met Emma werd niet getroffen door de PHP-kwetsbaarheden en kon gewoon blijven functioneren. Ook onze andere dienstverlening, waaronder systeembeheer, zakelijke telefonie en internetverbindingen, bleef operationeel. Deze diensten maken geen gebruik van PHP en waren daardoor niet rechtstreeks kwetsbaar voor de betreffende beveiligingslekken. Dat onderscheid is belangrijk. Hoewel PHP op een groot deel van het internet wordt gebruikt, betekent een kwetsbaarheid in PHP niet automatisch dat iedere online dienst gevaar loopt.

Beveiligingsupdates kwamen woensdag beschikbaar

In de loop van de dag werd duidelijk dat beveiligingsupdates beschikbaar zouden komen. De ontwikkelaars van PHP publiceerden op 21 oktober patches voor de getroffen, nog ondersteunde PHP-versies. Daarmee kon het herstel beginnen. Voor ICT-beheerders betekende dit echter meer dan simpelweg een update installeren.

Ook moest worden gecontroleerd of websites en applicaties na het bijwerken nog correct functioneerden. Vooral oudere websites en maatwerkapplicaties kunnen problemen ondervinden wanneer de onderliggende PHP-versie wordt gewijzigd. Bovendien is een geïnstalleerde beveiligingsupdate geen garantie dat een systeem vóór het bijwerken niet al is aangevallen.

Een website die werkt, is niet automatisch veilig

De gebeurtenissen van gisteren maken duidelijk hoe belangrijk het is om te weten welke software op een server draait. Veel organisaties hebben een website, maar weten niet welke PHP-versie wordt gebruikt of wanneer deze voor het laatst is bijgewerkt. Hetzelfde geldt voor WordPress. Een website kan beschikken over de nieuwste WordPress-versie, terwijl de onderliggende server nog een verouderde PHP-versie gebruikt.

Ook plugins en thema’s vormen een aandachtspunt. Oudere uitbreidingen kunnen ervoor zorgen dat een noodzakelijke PHP-upgrade wordt uitgesteld, omdat anders bepaalde onderdelen van de website niet meer functioneren. Dat is een risico dat vaak pas zichtbaar wordt wanneer een ernstige kwetsbaarheid aan het licht komt.

Wat hebben we geleerd?

De PHP-crisis laat zien dat preventieve maatregelen soms noodzakelijk zijn, zelfs wanneer die tijdelijk ongemak veroorzaken. Bij Crooijmans ICT kozen we er bewust voor om systemen en koppelingen preventief uit te schakelen in plaats van onnodige risico’s te nemen. Daarmee beperkten we de blootstelling van onze systemen totdat passende beveiligingsmaatregelen konden worden getroffen.

Tegelijkertijd onderstreept deze gebeurtenis het belang van een goede technische inventarisatie. Welke applicaties gebruiken PHP? Welke versies zijn geïnstalleerd? Wie is verantwoordelijk voor updates? En hoe snel kan worden ingegrepen wanneer zich een ernstig beveiligingsprobleem voordoet?

Juist op zulke momenten blijkt de waarde van professioneel en proactief ICT-beheer.

PHP: The Day After

Vandaag, donderdag 22 oktober, staat vooral in het teken van controleren, bijwerken en evalueren. De acute situatie van gisteren maakt plaats voor de belangrijke vraag of alle kwetsbare systemen daadwerkelijk zijn bijgewerkt en veilig kunnen functioneren.

Voor ons was het een uitzonderlijke dag, waarop we uit voorzorg verschillende diensten tijdelijk moesten onderbreken. Tegelijkertijd bleef het grootste deel van onze dienstverlening gewoon beschikbaar.

Onze conclusie is helder: bij een ernstige kwetsbaarheid is tijdelijk uitschakelen soms verstandiger dan het risico nemen dat systemen of klantgegevens worden gecompromitteerd.

De beveiligingsupdates zijn beschikbaar. Maar daarmee is het werk nog niet klaar.

21 oktober was de dag van ingrijpen. 22 oktober is de dag van controleren.