Twee lekken in PHP zetten Vlaamse overheidssites offline

Op 21 oktober 2026 haalden onder meer de Vlaamse overheid, de FOD Financiën en meerdere ziekenhuizen hun websites uit voorzorg offline. De reden: twee ernstige fouten in PHP, een programmeertaal waarop zo’n 70 procent van alle websites draait, schat het beveiligingsbedrijf Wiz. Het PHP-project bracht diezelfde dag updates uit die de fouten dichten.

Volgens het PHP-project kan een aanvaller via de fouten zonder inloggegevens op afstand eigen code laten uitvoeren op een server, en dus de website overnemen. Het gaat om twee afzonderlijke fouten, die elk een score van 9,2 op 10 krijgen. Het PHP-project had op 20 oktober aangekondigd dat er de dag erna een oplossing zou komen.

Hackers gebruikten die aankondiging om de fout op te sporen en verspreidden er informatie over, meldt NOS. Omdat er nog geen waterdichte oplossing was, kozen veel organisaties ervoor hun sites te sluiten tot de update er was.

In België ging het volgens de liveblog van VRT NWS onder meer om alle websites van de Vlaamse overheid die op PHP draaien. Ook de sites van de FOD Financiën, het Centrum voor Cybersecurity België zelf, Infrabel, de VDAB, de stad Gent en ziekenhuizen als AZ Oostende en het UZA gingen offline. MyMinfin bleef online, omdat het op andere technologie draait. Het Centrum voor Cybersecurity België raadde aan de update zo snel mogelijk te installeren. Kan dat niet meteen, dan kan een organisatie overwegen de site offline te halen. Het centrum had op dat moment geen meldingen van effectieve incidenten in België.

Ook AI speelde een rol. Wiz Research, het onderzoeksteam van Wiz, meldde de fouten op 24 augustus 2026 bij het PHP-team en gebruikte daarbij onder meer de AI-modellen Gemini 4 Argon en GPT-5.6 Sol. “Gemini 4 Argon made an invaluable contribution to finding the vulnerability”, schrijft Wiz. Geavanceerde AI-modellen verlaagden ook de drempel om van een oud lek een werkende aanval te maken. De kwetsbare code zat er al meer dan tien jaar in.

Wat betekent dit voor Vlaanderen en België?

Wie een website beheert of laat beheren, controleert best welke PHP-versie erop draait. De herstelde versies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder geeft het PHP-project geen updates meer. Sommige distributies en leveranciers met langetermijnondersteuning bieden wel eigen herstellingen aan, en voor wie zelf bouwt bestaan minimale herstellingen voor PHP 7.4, 8.0 en 8.1.

Volgens NOS updaten veel site-eigenaren te laat, vooral kleinere bedrijven en hobbysites die soms jaren oude versies gebruiken. Wie een site door een bureau of hostingpartij laat draaien, kan vragen welke versie er staat en wanneer de update is doorgevoerd. Computerwetenschapper Jeroen Baert waarschuwt dat hackers oude en nieuwe code kunnen vergelijken om het lek te vinden. Hij raadt aan na te gaan of de update werkt voor je een site weer online zet.