Websites tijdelijk preventief offline i.v.m. ernstig beveiligingslek PHP
Wij willen u informeren over een ernstige beveiligingssituatie die ons heeft doen besluiten om uw website per direct tijdelijk offline te halen.
--
Update, 17:44u: Goed nieuws: inmiddels zetten we stuk voor stuk weer websites online nadat we de beveiligingspatches uitgevoerd hebben.
Update, 17:31u: Het patchen is momenteel nog steeds gaande, aangezien er via verschillende bronnen en repositories steeds meer patches beschikbaar komen. Het gaat hierbij niet uitsluitend om het updaten van de website, maar om aanpassingen op meerdere lagen van de omgeving. Hierdoor is het proces complexer en neemt het meer tijd in beslag dan enkel een website-update.
Update, 16:56u: Het patchen is momenteel nog bezig. We voeren de beveiligingsupdates zo snel mogelijk door. Bedankt voor uw geduld.
Update, 15:53u: Het PHP-team heeft de beveiligingspatches officieel uitgebracht. Ons team is actief bezig met het doorvoeren van deze updates binnen onze infrastructuur. We doen er uiteraard alles aan om deze kritieke beveiligingsupdates zo snel mogelijk door te voeren.
Update, 15:25u: We bereiden momenteel de implementatie voor van de officiële beveiligingspatches voor de PHP-kwetsbaarheid. Deze worden naar verwachting vanaf 16:00 uur beschikbaar gesteld. Hoewel het exacte tijdstip waarop het probleem volledig is opgelost door externe factoren nog onzeker is, doen we er alles aan om de patches zo snel mogelijk uit te rollen.
Zodra de officiële beveiligingsupdate volledig is geïnstalleerd, wordt de website weer ingeschakeld. We doen er alles aan om de downtime tot een absoluut minimum te beperken. Mocht u vragen hebben, stuur dan gerust een e-mail naar support@obaia.dev
--
Wat is er aan de hand?
In de veelgebruikte programmeertaal PHP zijn twee kritieke beveiligingslekken ontdekt. PHP vormt de technische basis van een groot aantal websites en webapplicaties. De kwetsbaarheden worden door beveiligingsexperts als zeer ernstig beoordeeld, met een risicoscore van 9,2 op een schaal van 10.
Live blogs:
nos.nl live blog
nu.nl live blog
NOS: https://nos.nl/artikel/2636055-veel-websites-kwetsbaar-voor-lekken-in-populaire-programmeertaal
The Hacker News: https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html
Officiële aankondiging van PHP: https://www.php.net/archive/2026.php#2026-10-20-1
Het grootste risico is dat kwaadwillenden deze kwetsbaarheden mogelijk kunnen misbruiken om op afstand eigen code uit te voeren op een kwetsbare server. Dit kan verstrekkende gevolgen hebben, waaronder:
Diefstal van persoonsgegevens: gegevens van bezoekers, klanten of gebruikers kunnen mogelijk worden ingezien of buitgemaakt.
Ongeautoriseerde toegang: aanvallers kunnen mogelijk toegang krijgen tot onderdelen van de website of de achterliggende systemen.
Misbruik van de website: kwaadwillenden kunnen de website aanpassen, schadelijke software plaatsen of de server voor verdere aanvallen gebruiken.
Schade aan uw organisatie: een incident kan leiden tot reputatieschade, operationele problemen en mogelijke privacy- en compliancegevolgen.
Wat deze situatie extra zorgwekkend maakt, is dat er op dit moment nog geen officiële beveiligingsupdate beschikbaar is. Ook zijn er signalen dat aanvallers al pogingen doen om de kwetsbaarheden te misbruiken. Een betrouwbare tijdelijke oplossing die het risico volledig wegneemt, is niet beschikbaar.
Wat betekent dit voor uw website?
Bij Obaia staat de veiligheid van uw website en de gegevens van uw bezoekers voorop. Daarom hebben wij besloten om uw website uit voorzorg per direct offline te halen.
Wij realiseren ons dat dit een drastische maatregel is. Uw website is tijdelijk niet bereikbaar voor bezoekers en dit kan hinder opleveren voor uw organisatie. Toch vinden wij het onverantwoord om de website online te laten terwijl er een dergelijke ernstige kwetsbaarheid bestaat en er nog geen officiële oplossing beschikbaar is.
Onze inschatting is dat tijdelijk offline gaan op dit moment de verstandigste keuze is. Liever een paar uur onbereikbaar dan het risico lopen op een beveiligingsincident met mogelijk verregaande gevolgen voor uw privacy, gegevens en bedrijfsvoering.
Wanneer is uw website weer online?
Het PHP-team heeft aangekondigd dat de officiële beveiligingsupdates VANDAAG, 21 oktober, om 16.00 uur, beschikbaar worden gesteld.
Zodra de updates zijn uitgebracht, gaan wij deze zo snel mogelijk implementeren en controleren we of uw website weer veilig kan functioneren. Zodra de noodzakelijke beveiligingsmaatregelen zijn uitgevoerd en de controles zijn afgerond, stellen we uw website weer beschikbaar.
We doen er alles aan om de onderbreking zo kort mogelijk te houden, zonder concessies te doen aan de veiligheid.
Tot slot
Wij begrijpen dat deze beslissing vragen kan oproepen en mogelijk ongemak veroorzaakt. We nemen deze stap niet lichtvaardig, maar vanuit onze verantwoordelijkheid om uw website, uw organisatie en de gegevens van uw bezoekers zo goed mogelijk te beschermen. Zodra er meer duidelijkheid is of uw website weer veilig online kan, houden wij u op de hoogte.