← Terug naar het blog 29 oktober 2026

Het PHP-lek: A.I. vond een fout van 14 jaar oud. En dit is nog maar het begin

Misschien merkte je het vorige week: de website van de VDAB, Smartschool of je ziekenhuis was plots onbereikbaar. Dat was geen toeval. Op 20 en 21 oktober 2026 haalden organisaties over de hele wereld hun websites uit voorzorg offline, door een ernstig lek in PHP. Het opvallende: het lek werd gevonden met hulp van artificiële intelligentie. Wat betekent dat voor jou? En waarom zullen we dit nog vaker meemaken?

Kort samengevat
  • PHP is de onzichtbare motor achter ongeveer 7 op de 10 websites. Er zaten twee zware fouten in, al zo'n 14 jaar lang.
  • Via die fouten kon een inbreker op afstand de computer achter een website overnemen, zonder wachtwoord.
  • Er is sinds 21 oktober een oplossing (een update). Grote organisaties hebben die meestal snel geïnstalleerd.
  • Als gewone surfer hoef je zelf niets te herstellen. Wel blijft gewone voorzichtigheid belangrijk (zie verderop).
  • A.I. vindt zulke fouten veel sneller dan mensen. Reken dus op meer van dit soort nieuws. Maar A.I. wordt ook ingezet om de gaten te dichten, en op termijn wordt het internet daar veiliger van.

Wat is PHP eigenlijk?

Een website is meer dan een mooie voorkant. Achter de schermen draait er een computer (een server) die bijvoorbeeld je gegevens opzoekt, een formulier verwerkt of je winkelmandje bijhoudt. PHP is de taal waarin heel veel van die achterkant geschreven is. WordPress, waarmee talloze websites van verenigingen, winkels en zelfstandigen gemaakt zijn, draait er bijvoorbeeld op.

Je kunt PHP vergelijken met het slot dat in miljoenen voordeuren tegelijk zit. Zit er een fout in dat ene type slot, dan zijn al die deuren in één klap kwetsbaar.

Wat is er misgegaan?

In de code van PHP zaten twee fouten in de manier waarop het programma met het geheugen van de server omgaat. Heel eenvoudig gezegd: PHP ruimde soms niet netjes op na een bezoeker, waardoor een volgende bezoeker met slim gekozen verzoeken iets kon laten gebeuren wat nooit de bedoeling was. Door de twee fouten te combineren kon een aanvaller eigen opdrachten laten uitvoeren op de server. Dat is zowat het ergste wat een website kan overkomen: wie dat kan, kan gegevens stelen, de site aanpassen of er schadelijke software op zetten.

De makers van PHP gaven de fouten een ernstscore van 9,2 op 10. De lekken kregen de bijnaam PHP2Shell en de officiële codes CVE-2026-109618 en CVE-2026-109619.

Waarom gingen zoveel sites offline?

Op 20 oktober kondigden de makers van PHP aan dat er de volgende dag een dringende update zou komen. Tegelijk lekten er al details uit. Volgens de officiële waarschuwing van PHP bestond er geen volledige tijdelijke bescherming: updaten was de enige veilige keuze. Veel organisaties kozen er daarom voor om hun site even uit te zetten tot de update geïnstalleerd was.

In België ging het volgens VRT NWS onder meer om de VDAB, Stad Gent, FOD Financiën, Smartschool, de Zelfmoordlijn, Awel, acht ziekenhuizen en zelfs de VRT-website zelf. In Nederland gingen DigiD en MijnOverheid tijdelijk offline. Dat klinkt dramatisch, maar het was eigenlijk verstandig: liever een paar uur geen website dan een website waar inbrekers vrij spel hebben.

De rol van A.I.

Deze fouten zaten al zo'n 14 jaar in PHP. Duizenden programmeurs hebben in die tijd naar die code gekeken, zonder dat iemand het gevaar zag. Volgens de berichtgeving werd één van de fouten zelfs al eerder opgemerkt, maar nooit opgelost.

Deze zomer vonden onderzoekers van de beveiligingsbedrijven Calif en Wiz de lekken wél, met hulp van A.I.-modellen. De A.I. hielp niet alleen om de fouten te vinden, maar ook om aan te tonen dat je ze echt kon misbruiken. Gelukkig waren dat goedbedoelende onderzoekers: zij meldden het lek aan de makers van PHP, zodat er een oplossing kon komen.

A.I.-expert Steven Latré (imec) noemde A.I. op de VRT daarom zowel de hulp als de schuldige. Dezelfde technologie die lekken vindt om ze te dichten, kan ook gebruikt worden om ze aan te vallen.

Waarom dit nog maar het begin is

Dit is het eerlijke, minder fijne deel. Het PHP-lek is geen uitzondering, het is een voorbode. Een paar redenen:

Verwacht dus de komende maanden en jaren nog berichten over "groot lek ontdekt" en "websites tijdelijk offline". Dat is vervelend, maar het betekent niet dat het internet instort.

En toch: het wordt beter

Nu het hoopvolle deel. A.I. vindt niet alleen gaten, het helpt ook om ze te dichten. En dat gebeurt al:

Je kunt het vergelijken met een grote schoonmaak. Eerst lijkt het huis rommeliger dan ooit, omdat alles uit de kasten komt. Maar zodra alles opgeruimd is, is het huis properder dan vóór de schoonmaak. Software wordt de komende jaren grondiger doorgelicht dan ooit tevoren. Op termijn zullen veel fouten al gevonden en hersteld worden vóór de software in gebruik genomen wordt. Daar komt dit uiteindelijk op neer: een lastige overgangsperiode, en daarna een veiliger internet.

Wat kun je zelf doen?

Als gewone internetgebruiker

Als je zelf een website hebt

En villalobos.be zelf?

Deze website gebruikt geen PHP: het zijn gewone, vaste pagina's zonder programma op de server. Dit lek speelde hier dus niet. Ik heb van de gelegenheid wel gebruikgemaakt om de beveiliging van de site nog eens na te lopen en extra aan te scherpen.

Hulp nodig?

Twijfel je of je eigen website of die van je vereniging bijgewerkt is? Of wil je je toestellen thuis eens laten nakijken, met updates, wachtwoordbeheer en tweestapsverificatie netjes ingesteld? Via Villalobos PC Hulp help ik thuisgebruikers en senioren in Oosterzele, Wetteren en omgeving. Zeg hallo en we bekijken het samen.

Bronnen

Dit artikel is informatief en geen professioneel beveiligingsadvies. Bronnen verschillen soms over details zoals data en aantallen; bij twijfel geldt de officiële informatie van php.net en het Centrum voor Cybersecurity België (CCB).