Kritieke PHP-kwetsbaarheden legden websites tijdelijk plat

Tientallen websites en online diensten zijn op woensdag 21 oktober uit voorzorg tijdelijk offline gehaald vanwege twee kritieke kwetsbaarheden in PHP. Ook Nederlandse overheidswebsites, waaronder Overheid.nl, MijnOverheid.nl en DigiD, werden tijdelijk uitgeschakeld. De kwetsbaarheden konden aanvallers in staat stellen zonder in te loggen schadelijke code uit te voeren op kwetsbare servers. De ontwikkelaars van PHP hebben inmiddels beveiligingsupdates uitgebracht. Het Nationaal Cyber Security Centrum (NCSC) waarschuwde organisaties vooraf voor de risico’s en adviseerde beheerders zich voor te bereiden op het installeren van de beveiligingsupdates. Organisaties die de kwetsbaarheden niet tijdig konden verhelpen, kregen het advies te overwegen hun publiek toegankelijke websites tijdelijk offline te halen. Ook het NCSC haalde zijn eigen website uit voorzorg offline. Het doel was om misbruik te voorkomen zolang een oplossing nog niet beschikbaar was. BeveiligingNieuws.nl kon dankzij een uitstekende hoster overigens online blijven. Uitvoering van code op afstand De problemen zijn geregistreerd onder de nummers CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden hebben een ernstscore van 9,2 op een schaal van 10 en kunnen leiden tot zogenoemde remote code execution. Daarbij kan een aanvaller op afstand opdrachten uitvoeren op een server zonder voorafgaande authenticatie. Afhankelijk van de inrichting kan dit toegang tot gevoelige gegevens en verdere aantasting…