1. Woensdag 21 oktober 2026 werden talloze websites offline gehaald vanwege twee grote kwetsbaarheden in de programmeertaal PHP.
2. De kwetsbaarheden konden makkelijk misbruikt worden, waardoor bijvoorbeeld klantgegevens gestolen konden worden. Naar schatting is ongeveer 70 procent van de websites afhankelijk van PHP.
3. Volgens Corine Schipper-Derkse van het Nationaal Cyber Security Centrum (NSCS) was er sprake van een weeffout in de programmeertaal en geen aanval. Cybersecuritybedrijf Wiz meldt dat de kwetsbaarheden al tien jaar bestonden.
4. De onrust ontstond na een lek op sociale media, waarbij naar verluidt een AI-bot de kwetsbaarheden had ontdekt. De PHP Foundation wilde een beveiligingsupdate doorvoeren, maar dit voornemen lekte uit, wat hackers aanzette tot het zoeken naar zwakke plekken. Afnemers werden daarop gewaarschuwd om websites offline te halen.
5. Websites van de overheid, gemeenten en ziekenhuizen, waaronder MijnOverheid en DigiD, werden uit voorzorg offline gehaald. Diverse mediasites zoals RTL Nieuws en techwebsite Tweakers gingen ook offline. Ook websites van ziekenhuizen en supermarkten werden uit voorzorg offline gehaald. Hostingprovider MijnDomein haalde preventief alle websites offline, wat honderdduizenden websites en diensten betrof.
6. Ook in het buitenland werden websites uit de lucht gehaald, waaronder overheidssites in Frankrijk, Finland, Japan en België.
7. In Nederland bleven sommige sites ook beschikbaar, omdat de risico's per website verschilden. Deskundigen stellen dat in sommige landen andere risico-analyses zijn gemaakt, waardoor websites beschikbaar bleven. De risico's bij een webshop met betalingsverkeer zijn groter dan bij een informatieve website.
8. Iets voor 16.00 uur op woensdag 21 oktober 2026 werd een patch uitgebracht door de PHP Foundation om de kwetsbaarheden op te lossen.
9. Ongeveer een halfuur na het uitbrengen van de patch kwamen de eerste websites weer online, nadat de update was doorgevoerd. Websites die woensdag uit voorzorg offline werden gehaald vanwege waarschuwingen over kwetsbaarheden in PHP, komen langzaamaan weer online.
10. Er zijn vooralsnog geen signalen van misbruik van bedrijven door het lek. De NCSC, CISA (de Amerikaanse overheidsinstantie) en de Nederlandse Vereniging van Ziekenhuizen bevestigen dat er geen aanleiding is om aan te nemen dat leden gehackt zijn.