De meeste websites zijn weer online

Actuele situatie

Het grootste deel van de betrokken websites is weer online. Voor de websites en onderdelen die nog niet vrijgegeven zijn, werken we verder aan de benodigde herstelstappen. De werkzaamheden zijn daarmee nog in uitvoering.

Een website die nog tijdelijk niet bereikbaar is, blijft afgeschermd totdat de vereiste technische controles zijn afgerond. We geven omgevingen afzonderlijk vrij. Daardoor kan de ene website alweer werken terwijl een andere nog een onderhoudsmelding toont.

Wat is er gebeurd?

Het PHP-team kondigde op 20 oktober 2026 een kritieke beveiligingsrelease aan. Op 21 oktober volgden de updates voor twee kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619.

PHP is serversoftware die door veel websites en webshops wordt gebruikt. De kwetsbaarheden kunnen onder bepaalde omstandigheden aanvallers zonder inloggegevens code op een server laten uitvoeren. Vanwege de ernst hebben wij de betrokken websites in ons beheer uit voorzorg tijdelijk offline gehaald.

Wat we inmiddels hebben gedaan

Op meerdere serveromgevingen zijn beveiligingsupdates uitgevoerd. Bij de technische controle is gekeken naar de geïnstalleerde pakketten en de software die daadwerkelijk actief is. Dat is nodig omdat een geïnstalleerde update pas bescherming biedt wanneer ook de bijgewerkte software wordt gebruikt.

De technische controles en het herstel verlopen per omgeving. Waar de benodigde controles zijn afgerond, zijn tijdelijke blokkades gericht opgeheven en is de publieke bereikbaarheid opnieuw gecontroleerd.

Het resultaat is dat de meeste betrokken websites inmiddels weer bereikbaar zijn. De resterende omgevingen blijven onderdeel van de herstelwerkzaamheden.

Hoe we een website weer vrijgeven

Eerst controleren we of de benodigde beveiligingsoplossing voor de betreffende omgeving aanwezig is. Daarbij kijken we naar de herkomst van het updatepakket en de daadwerkelijk actieve software.

Vervolgens controleren we de verbinding met de server en de werking van de website. De benodigde controles kunnen per omgeving verschillen. Ook relevante pagina’s en bestanden worden bij de beoordeling meegenomen.

Als de benodigde controles zijn afgerond, heffen we de bijbehorende tijdelijke blokkade op. Daarna controleren we de publieke website opnieuw. Zo beoordelen we de situatie ook vanuit het perspectief van een bezoeker.

Waarom nog niet iedere website terug is

De betrokken websites draaien in verschillende technische omgevingen. Sommige onderdelen hebben aanvullende aanpassingen of controles nodig voordat ze weer kunnen worden vrijgegeven. Ook de samenhang tussen de website, de server en andere bijbehorende onderdelen speelt daarbij een rol.

Een algemene update op een server betekent daarom niet automatisch dat alle websites en onderdelen op die server direct weer bereikbaar kunnen worden gemaakt. Iedere vrijgave vraagt om een passende controle van de betreffende omgeving.

Waar we nu aan werken

De aandacht ligt op de resterende websites en onderdelen. We ronden daar de noodzakelijke werkzaamheden af en controleren of de omgeving klaar is om terug online te gaan.

Waar aanvullende technische punten openstaan, blijft de tijdelijke afscherming actief. Zodra de benodigde werkzaamheden en controles zijn afgerond, kan de betreffende website worden vrijgegeven.

Er is geen gezamenlijk tijdstip waarop alle resterende websites tegelijk terugkomen. Het moment van vrijgave hangt af van de openstaande werkzaamheden per omgeving.

Welke beveiligingsupdates zijn uitgebracht?

De officiële PHP-beveiligingsreleases voor deze kwetsbaarheden zijn PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Sommige leveranciers verwerken de oplossingen in eigen onderhoudspakketten. Daarom beoordelen we ook het gebruikte pakket en de actieve omgeving.

Alleen een melding dat updates beschikbaar zijn, bevestigt nog niet dat een website is bijgewerkt. De officiële PHP-beveiligingsinformatie staat onderaan deze pagina gelinkt.

Betekent de offlineperiode dat mijn website is gehackt?

De tijdelijke onbereikbaarheid is een voorzorgsmaatregel om het risico te beperken. Deze maatregel is op zichzelf geen bewijs dat een website is gehackt of dat er gegevens zijn buitgemaakt.

Vragen over de situatie van een afzonderlijke website behandelen we rechtstreeks. Zo kunnen we de actuele informatie over die omgeving gericht toelichten.

Wat kun je als klant doen?

Staat je website bij ons in beheer, dan pakken wij de werkzaamheden aan de beheerde omgeving op. Je hoeft de tijdelijke blokkade niet zelf te verwijderen. Voor de actuele stand van jouw website kun je contact met ons opnemen via de contactgegevens hieronder.

Deze statuspagina is de centrale plek voor verdere updates over het algemene herstel. De datum en tijd bovenaan geven aan wanneer deze tekst voor het laatst is bijgewerkt.

Bedankt voor je geduld en begrip.

Lees de officiële PHP-beveiligingsinformatie