Wie woensdagmiddag 21 oktober wilde inloggen op MijnOverheid, kreeg een onderhoudspagina. Datzelfde gold voor de websites van DigiD, de Tweede Kamer, Tweakers en zelfs het Nationaal Cyber Security Centrum. De oorzaak: twee lekken in PHP, de software onder een groot deel van het web. Het opvallende detail is wie ze vond. Geen hacker, maar AI-modellen van OpenAI en Google.
Wat is er aan de hand?
PHP is de programmeertaal waarop onder meer WordPress, Drupal en Joomla draaien. Volgens beveiligingsbedrijf Wiz zit PHP onder ongeveer 70 procent van alle websites (Bron: Wiz). Op 21 oktober 2026 bracht PHP noodupdates uit voor twee lekken die samen PHP2Shell heten, met de nummers CVE-2026-109618 en CVE-2026-109619. Beide krijgen een ernstscore van 9,2 op 10 (Bron: The Hacker News).
Wat ze zo gevaarlijk maakt: een aanvaller hoeft niet in te loggen. Volgens het NCSC is één eenvoudig verzoek van buitenaf genoeg om eigen code op de server uit te voeren, en daarmee het systeem over te nemen (Bron: Rijksoverheid). Wiz liet zien dat zelfs een kale “Hello World”-pagina op een kwetsbare PHP-versie te kraken was (Bron: Wiz). Alle versies van 5.4 tot en met 8.5.11 zijn kwetsbaar (Bron: Google Cloud).
Beginner-tip Bij remote code execution kan een buitenstaander zijn eigen opdrachten laten uitvoeren op een computer die niet van hem is. Bij een webserver betekent dat: de website aanpassen, er malware op zetten of de klantgegevens erachter meenemen.
Een dag uit de lucht
Omdat de details van de lekken vóór de geplande publicatie uitlekten via een bericht op Hacker News, bracht PHP de oplossing naar voren (Bron: The Next Web). Veel organisaties namen daarop het zekere voor het onzekere. Volgens de NOS gingen onder meer MijnOverheid, DigiD, de Tweede Kamer, Tweakers, de Autoriteit Persoonsgegevens, persbureau ANP en vergadersysteem Notubiz, dat zo’n honderd gemeenten gebruiken, (deels) offline (Bron: NOS). Het NCSC haalde ook de eigen website tijdelijk uit de lucht (Bron: Rijksoverheid).
Het NCSC formuleerde het scherp:
“Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar.” (bron: Nationaal Cyber Security Centrum, via NOS)
Rond 16:00 kwam de update. Tweakers en de site van RTL waren vlak voor 17:00 terug, MijnOverheid kort na 18:00 en de DigiD-website rond 20:30. Inloggen met DigiD op andere sites bleef de hele dag werken (Bron: NOS).
| Tijdstip (21 okt) | Wat er gebeurde |
|---|---|
| Ochtend | Notubiz en ANP offline uit voorzorg; NOS meldt DigiD en MijnOverheid offline |
| Rond 16:00 | PHP publiceert 8.5.12, 8.4.27, 8.3.36 en 8.2.35 |
| 16:19 | watchTowr ziet de eerste actieve aanvalspogingen (14:19 UTC) |
| Vlak voor 17:00 | Tweakers en RTL weer online |
| Kort na 18:00 | MijnOverheid weer online |
| Rond 20:30 | DigiD-website weer online |
AI vond de lekken als eerste
Hier wordt het een AI-verhaal. Wiz Research vond de lekken met een eigen systeem en de AI-modellen Gemini 4 Argon van Google en GPT-5.6 Sol van OpenAI. De eerste vondst dateert van 19 augustus 2026; op 24 augustus lag de melding bij het beveiligingsteam van PHP (Bron: Wiz). Los daarvan vond beveiligingsbedrijf Calif één van de twee lekken met GPT-5.6 Sol, binnen Patch the Planet: een programma van OpenAI dat onderzoekers, onderhouders van open-source-software en incidentteams aan elkaar koppelt (Bron: OpenAI).
OpenAI schrijft dat, voor zover bekend, “frontier AI found these vulnerabilities before attackers did”. Dat leverde volgens het bedrijf een “Defender’s Window” op: tijd voor verdedigers om een oplossing klaar te zetten voordat aanvallers het gat kennen (Bron: OpenAI). Een frontier-model is een model aan de voorhoede van wat AI kan. Dat zulke modellen zelf zware lekken vinden, zag je al eerder bij GPT-6 Astra, dat tijdens een eigen test twee zero-days ontdekte.
OpenAI noemt PHP2Shell “one of the most impactful security issues in recent memory” en zegt dat het om enkele van meerdere ernstige lekken gaat die het al gevonden heeft en aan het dichten is. Het bedrijf stelt een aanpak in vijf stappen voor, van het valideren van de fix tot afstemming met overheden. In de VS waren daarbij onder meer het cyberbureau CISA en de Super Intelligence Force van het Witte Huis betrokken (Bron: OpenAI).
Gevorderden Het venster werkte deze keer maar half. Twee maanden stil voorbereiden, en toch moest de release op het laatst in een paar uur, omdat de details uitlekten. Cloudflare-CTO Dane Knecht meldde vóór de patch al: “We are seeing early attacks emerging” (Bron: The Hacker News). AI kan het vinden versnellen; de rest van de keten, van fix tot uitrol bij miljoenen servers, blijft mensenwerk.
Is er misbruik geweest?
Bevestigd is het niet. Het NCSC en het Amerikaanse CISA zeiden op 21 oktober geen actief misbruik te hebben gezien (Bron: NOS). Wel meldde beveiligingsbedrijf watchTowr die middag om 14:19 UTC “active exploitation attempts” voor beide lekken. Een geslaagde inbraak op een concrete server is door geen enkele hier gebruikte bron bevestigd (Bron: The Hacker News).
Tijdelijke trucs in de instellingen helpen maar beperkt. PHP-ontwikkelaar Gina Peter Banyard zei vóór de release: “the only mitigation is patching/upgrading PHP” (Bron: The Hacker News). Het NCSC voegt eraan toe dat zulke noodmaatregelen bij een aanval zelfs tot uitval kunnen leiden (Bron: Rijksoverheid).
Wat betekent dit voor jou?
Als bezoeker van websites hoef je niets te doen. Het lek zit op servers, niet op je telefoon of laptop. Krijg je de komende tijd een mail van een organisatie over een datalek, lees die dan wel serieus, en wees extra alert op phishing die op dit nieuws inspeelt.
Heb je zelf een website, blog, verenigingssite of webshop, dan ben jij (of je hoster) aan zet:
- Controleer je PHP-versie in het beheerpaneel van je hoster. Veilig zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35 of nieuwer (Bron: NCSC-NL).
- Draai je 8.1 of ouder? Die versies krijgen officieel geen updates meer. Het advies is upgraden naar 8.2 of nieuwer (Bron: Google Cloud).
- Twijfel je? Stuur je hoster een korte vraag: “Zijn mijn sites bijgewerkt voor CVE-2026-109618 en CVE-2026-109619?” Dat ene zinnetje is genoeg.
Het grotere punt reikt verder dan PHP. Dezelfde modellen die dit gat vonden, maken het zoeken ook voor aanvallers goedkoper. Beheerders van software krijgen daardoor vaker en sneller zulke noodupdates. Dat de Nederlandse overheid dit keer een dag uit de lucht ging en zonder bekende schade terugkwam, laat zien dat de voorbereiding werkte. Of dat bij het volgende lek ook lukt, hangt af van hoe snel de keten na de AI-vondst nog kan bewegen.