Op woensdag 21 oktober 2026 haalden organisaties wereldwijd hun websites offline vanwege twee kritieke beveiligingslekken in PHP, de programmeertaal waarop onder meer WordPress draait. In Nederland waren onder andere DigiD, MijnOverheid, de Tweede Kamer, de Autoriteit Persoonsgegevens, RTL Nieuws en Tweakers tijdelijk niet bereikbaar. De websites die wij hosten en onderhouden zijn de hele dag online gebleven. Dat is geen toeval: het is precies waarvoor we Verploy, ons eigen onderhoudsplatform, hebben gebouwd.
Wat er aan de hand was
Het beveiligingsteam van PHP kondigde op 20 oktober een kritieke beveiligingsrelease aan. Het ging om twee lekken (CVE-2026-109618 en CVE-2026-109619) met een ernstscore van 9,2 op 10. Een aanvaller kon ze met een eenvoudig verzoek aan de server misbruiken om op afstand code uit te voeren, en er was al voorbeeldcode in omloop. Het Nationaal Cyber Security Centrum (NCSC) waarschuwde en adviseerde direct te updaten of systemen tijdelijk af te schermen. Veel organisaties kozen uit voorzorg voor offline halen, tot de gerepareerde PHP-versies (8.2.35, 8.3.36, 8.4.27 en 8.5.12) op 21 oktober beschikbaar kwamen.
Wat Verploy en wij hebben gedaan
Verploy bewaakt elke website die wij hosten, dag en nacht: welke versies er draaien, of elke site bereikbaar is en of er iets afwijkt. Op 21 oktober deed het platform wat het elke dag doet, alleen telde het nu echt.
- Gemonitord vanaf de eerste waarschuwing. We volgden de aankondiging van PHP en de berichtgeving van het NCSC. Verploy hield intussen alle klantsites doorlopend in de gaten: bereikbaarheid, beveiliging en afwijkend gedrag.
- Op 21 oktober gepatcht, zonder uitval. Zodra de gerepareerde PHP-versies beschikbaar waren, zijn onze servers in de EU dezelfde dag bijgewerkt. Verploy controleerde daarna per website of alles nog werkte, zodat we niet hoefden te gokken.
- Gecontroleerd op misbruik. Met de gegevens uit Verploy en onze serverlogs hebben we elke klantsite gecontroleerd: er is geen inbraak, geen aanval en geen misbruik van het lek vastgesteld.
- Alles bleef online. Geen enkele website die wij hosten is offline geweest, ook niet tijdens het patchen. Voor onze klanten en hun bezoekers was er niets aan de hand.
Waarom dit het verschil maakte
Veel organisaties moesten kiezen tussen twee kwaden: een kwetsbare site online laten, of de site offline halen tot de update erop stond. Wie geen zicht heeft op wat er op de server draait en of een update goed is doorgekomen, heeft geen andere keuze dan de stekker eruit trekken. Verploy neemt precies dat blinde vlek weg: we zagen wat er draaide, we zagen de update slagen en we zagen elke site blijven werken. Daarom konden we de 21e doen wat anderen niet konden: bijwerken zonder offline te gaan.
Wat dit voor jou betekent
Als je website bij ons wordt gehost en onderhouden, hoef je niets te doen. Je site draait op een bijgewerkte server, wordt bewaakt door Verploy en krijgt elke nacht een versleutelde back-up. Bij de volgende kritieke update gaat het weer zo: gecontroleerd bijwerken, zonder dat jouw site uit de lucht gaat.
Was jouw site gisteren offline? Of weet je het niet zeker?
Dan is dit het moment om het anders te regelen. Wij nemen WordPress-websites over die ergens anders zijn gebouwd of gehost: we verhuizen je site naar onze servers in de EU, brengen hem technisch op orde en zetten hem onder bewaking van Verploy. Hosting vanaf € 7,50 en onderhoud vanaf € 19 per maand (excl. btw), zonder lang contract.
Zo pakken we het aan:
- Gratis websitecheck. Laat hieronder het adres van je site achter. Je krijgt per e-mail een kort, persoonlijk rapport: draait je site op een veilige PHP-versie, hoe staat het met snelheid en vindbaarheid, en wat zijn de drie verbeteringen met de meeste impact.
- Gratis adviesgesprek. 30 minuten, persoonlijk of via video, waarin we bespreken wat een overstap voor jou betekent.
- Overstap zonder gedoe. Wij verhuizen je site, testen alles en zetten de bewaking aan. Jij merkt er niets van, behalve dat het daarna geregeld is.
Plan een gratis adviesgesprek Stel je vraag via WhatsApp
Liever bellen? +31 (0)166 700204, ma–vr 9:00–17:30.
Bronnen: Tweakers – PHP dicht twee kritieke lekken nadat wereldwijd websites offline werden gehaald · Rijksoverheid
