Vandaag was GamerLifestyle.nl van 12:53 tot 17:53 uur offline. Niet vanwege een storing, maar vanwege een bewuste keuze. Twee kritieke kwetsbaarheden in PHP, de code die vrijwel het hele internet aandrijft, maakten het onverantwoord om onze site online te houden. We waren liever vooraf veilig dan achteraf onveilig.
PHP2Shell: het internet op zijn grondvesten
Gisteravond lekten op Hacker News de details van twee kritieke kwetsbaarheden in PHP, de programmeertaal waar zo’n 43 procent van alle websites op draait. WordPress, Drupal, Joomla, Magento, WooCommerce, Laravel: als het op het web staat en het is niet puur statisch, dan draait het waarschijnlijk op PHP. De kwetsbaarheden, genaamd CVE-2026-109618 en CVE-2026-109619 en samen gedoopt tot “PHP2Shell”, maken het voor aanvallers mogelijk om op afstand code uit te voeren op kwetsbare servers. Zonder wachtwoord. Zonder authenticatie. Gewoon: een verzoek sturen naar een webserver en je hebt volledige controle.
Beveiligingsonderzoekers van Wiz ontdekten de kwetsbaarheden en meldden ze aan het PHP-beveiligingsteam. De geplande gecoördineerde onthulling stond voor 22 oktober, maar een voortijdig gelekt bericht op Hacker News op 20 oktober gooide roet in het eten. Screenshots verspreidden zich razendsnel over social media, en plotseling wist de hele wereld dat er een ongepatchte kwetsbaarheid bestond in vrijwel elke PHP-installatie ter wereld.
Nederland gaat offline
De reactie was ongekend. In de nacht van 20 op 21 oktober moesten IT-teams wereldwijd beslissen: laten draaien en hopen dat het goed gaat, of offline halen en zeker weten dat het goed gaat? In Nederland kozen opvallend veel partijen voor dat laatste. DigiD en MijnOverheid gingen offline. De website van de Tweede Kamer ging offline. Het Nationaal Cyber Security Centrum (NCSC) haalde haar eigen site offline. Tweakers ging offline. Zelfs ondergrondse hackersforums als BreachForums en Dread gingen offline. Als hackers hun eigen forums offline halen vanwege een PHP-kwetsbaarheid, dan weet je dat het serieus is.
CERT-EU, het Europese cyberbeveiligingsorgaan, adviseerde organisaties die niet onmiddellijk konden patchen om hun sites offline te halen. Finland haalde overheidssites offline. Australië, Japan en het Verenigd Koninkrijk gaven vergelijkbare adviezen. Het PHP-beveiligingsteam versnelde de release van de noodpatch en bracht die uiteindelijk rond 15:34 uur Nederlandse tijd uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Waarom wij offline gingen
GamerLifestyle.nl draait op WordPress, en WordPress draait op PHP. Dat maakt ons net zo kwetsbaar als elke andere website die op deze technologie leunt. Toen vanmorgen duidelijk werd hoe ernstig de situatie was, hebben we om 12:53 uur de beslissing genomen om de site offline te halen. Niet omdat we bewijs hadden dat we aangevallen werden, maar omdat we het risico niet wilden lopen.
De kwetsbaarheden zijn namelijk niet subtiel. CVE-2026-109618 maakt misbruik van een fout in het geheugen wanneer PHP onvoldoende geheugen heeft, waardoor interne gegevens half geïnitialiseerd achterblijven. CVE-2026-109619 laat interne data voortbestaan nadat het geheugen al is vrijgegeven. Beide kwetsbaarheden scoren een 9.2 op de CVSS v4.0-schaal, wat in beveiligingstermen “kritiek” betekent. Cloudflare meldde al om 03:02 uur UTC de eerste aanvalspogingen. Beveiligingsbedrijven Aikido en Patchstack bevestigden later op de dag actieve exploitatie in het wild.
Om 17:53 uur, nadat de noodpatch beschikbaar was gekomen en wij deze hadden geïnstalleerd en geverifieerd, ging de site weer online. Vijf uur offline. Geen data gelekt, geen accounts gecompromitteerd, geen verrassingen achteraf.
Waarom dit ook jou raakt
Dit gaat niet alleen over GamerLifestyle. PHP draait onder bijna de helft van alle websites ter wereld. Je favoriete webshop, je gemeentewebsite, je online bankportaal: de kans is groot dat het op PHP draait. Beveiligingsonderzoeker Kevin Beaumont noemde PHP2Shell “een van de grootste kwetsbaarheden in jaren.” Wiz, het bedrijf dat de kwetsbaarheden ontdekte, waarschuwde dat AI-modellen de drempel om de kwetsbaarheden te misbruiken aanzienlijk hebben verlaagd.
Het goede nieuws: de patches zijn er. Het slechte nieuws: niet elke website heeft ze al geïnstalleerd. Als je zelf een WordPress-site beheert, of een andere site die op PHP draait, controleer dan nu of je PHP-versie is bijgewerkt naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Draai je nog op PHP 8.1 of ouder? Dan krijg je geen patch meer en moet je upgraden of je site offline halen.
Liever veilig dan sorry
We snappen dat vijf uur offline vervelend is. Maar als de keuze is tussen een middag geen reviews kunnen lezen of het risico lopen dat jullie gegevens op straat liggen, dan is die keuze snel gemaakt. In een wereld waarin zelfs het NCSC zijn eigen site offline haalt, is voorzichtigheid geen zwakte maar gezond verstand. We zijn weer volledig operationeel, gepatcht en up-to-date. Bedankt voor jullie geduld.
Meer informatie over PHP2Shell is te vinden bij Patchstack, Huntress en watchTowr. Beheerders van PHP-sites wordt aangeraden onmiddellijk te updaten.
