Luchtvaartnieuws.nl is woensdag uit voorzorg offline gehaald, net als veel andere websites die op PHP draaien; Airwork hoort daar niet bij en blijft gewoon bereikbaar. Bezoekers zagen een melding dat de site tijdelijk niet bereikbaar was vanwege een beveiligingskwetsbaarheid in PHP, de software waarop de site draait. Volgens die melding ging het om een voorzorgsmaatregel en betekende de onderbreking op zichzelf niet dat er sprake was van een hack of datalek. In de nacht naar donderdag was de site weer bereikbaar: om 00.11 uur laadde de startpagina weer gewoon.

De nieuwssite staat daarin niet alleen. Ook techsite Tweakers ging uit de lucht. Elke pagina van tweakers.net toonde alleen de zin: "Vanwege de PHP2Shell-kwetsbaarheid hebben wij onze systemen tijdelijk uitgezet." 1 PHP2Shell is de naam waaronder de lekken rondgaan 2. Tweakers liet weten de systemen uit voorzorg offline te hebben gehaald "vanwege kritieke PHP2Shell-kwetsbaarheden" 3. Om 15.57 uur was de site weer bereikbaar.

Ook RTL Nieuws ging uit de lucht. Kort na 13.00 uur gingen de site en de app van RTL offline. Bezoekers lezen dat RTL.nl tijdelijk niet bereikbaar is "omdat we een dringende beveiligingsupdate uitvoeren" 4. Om 17.01 uur was RTL Nieuws weer bereikbaar. Voor reizigers is vooral de Schiphol-app van belang: Schiphol haalde die uit voorzorg tijdelijk uit de lucht vanwege het lek in PHP. In de app staan daardoor geen actuele vluchtgegevens; de website van Schiphol werkt wel en de luchthaven raadt reizigers aan daar te kijken 54. Ook de website van de ANWB ging uit voorzorg offline vanwege het lek, bevestigde een woordvoerder aan NU.nl. Elke pagina toonde de melding dat de site "preventief offline gehaald" was "in verband met een PHP-beveiligingsupdate". De Wegenwacht, de Alarmcentrale en de ANWB Onderweg-app bleven bereikbaar 367. Om 18.01 uur was ANWB.nl nog offline, om 00.12 uur in de nacht naar donderdag was de site weer bereikbaar. Ook de websites van de Tweede Kamer en MijnOverheid gingen uit voorzorg uit de lucht 4. Volgens het ANP gold dat ook voor de site van het Nationaal Cyber Security Centrum zelf en voor sites van ziekenhuizen en politieke partijen 8.

Na de waarschuwing van het Europese cyberteam CERT-EU voor twee kritieke lekken in PHP zetten ook andere organisaties systemen uit. Persbureau ANP zette zijn visualisatietool LocalFocus tijdelijk uit. "De onzekerheden in de programmeertaal PHP geven ons onvoldoende vertrouwen", aldus het ANP. Al gepubliceerde producties blijven online en de app en de fotobank van het ANP zijn niet geraakt 910. Ook NotuBiz, het systeem waarmee ruim honderd gemeenten, provincies en waterschappen raadsinformatie publiceren, ging uit voorzorg uit de lucht 11. Woensdagmiddag, nog voor het geplande tijdstip van 16.00 uur, bracht PHP de reparatie uit 1213.

Wat er aan de hand is

PHP is een programmeertaal waarop een groot deel van het web draait, van WordPress en Drupal tot Joomla en Magento en de beheerpanelen van hostingbedrijven 14. Volgens ethisch hacker Wouter van Dongen draait wereldwijd ongeveer 70 procent van de websites op PHP of op toepassingen die ermee zijn gebouwd. "Het gevaar is dat die sites worden overgenomen of dat iemand bij alle data kan", zei hij tegen het ANP 15.

Het PHP-beveiligingsteam kondigde dinsdag 20 oktober een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, allebei met een score van 9,2 op de schaal CVSS v4.0, die tot 10 loopt 13. Onderzoekers van watchTowr zeggen dat het om CVE-2026-109618 en CVE-2026-109619 gaat 216. Volgens CERT-EU wijst de score op een risico dat een aanvaller op afstand en zonder in te loggen eigen code op een server kan uitvoeren. Met de reparatie maakte PHP ook de details bekend 1712.

PHP wilde de lekken aanvankelijk op donderdag bekendmaken. Eerder deze week lekte echter al informatie uit, via een bericht op het techforum Hacker News dat inmiddels is verwijderd. PHP besloot daarop de bekendmaking te vervroegen 2. Het team schreef zich het recht voor nog eerder te publiceren als details openbaar zouden worden of als er misbruik zou opduiken 13. Er gaat volgens Tweakers inmiddels een video rond van een aanvalsprogramma, maar of die echt is, is niet onafhankelijk vastgesteld 218.

Advies: patchen of de site offline halen

CERT-EU, het cyberteam van de Europese instellingen, adviseerde organisaties meteen te patchen zodra de update er was. Wie dat niet direct kan, moet volgens CERT-EU overwegen internetgerichte toepassingen af te schermen tot er een oplossing is 17. Dat is precies wat Luchtvaartnieuws.nl, Tweakers, ANP en NotuBiz deden. NotuBiz zegt dat er geen aanwijzingen zijn voor een veiligheidslek en weet nog niet wanneer de sites terugkomen 1119. Onder meer Den Haag, Almere, Breda, Haarlem en Delft en de provincies Overijssel, Gelderland en Fryslân gebruiken het systeem 1119.

De lekken zijn gerepareerd in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens PHP is bijwerken de enige volledige oplossing. PHP 8.1 en ouder krijgen van het PHP-project geen updates meer. Voor PHP 7.4, 8.0 en 8.1 stelde het beveiligingsteam wel kleine reparaties in de broncode beschikbaar, en sommige Linux-distributies en leveranciers met langdurige ondersteuning leveren eigen reparaties 12. Wie op een oude versie draait, doet er volgens beveiligingsbedrijf Sansec goed aan zijn hostingpartij om een upgrade te vragen 20.

Worden de lekken al misbruikt?

Daarover lopen de signalen uiteen. Dane Knecht, technisch directeur van internetbeveiliger Cloudflare, schreef woensdag op X dat Cloudflare de eerste aanvallen ziet en zijn firewallregels bijwerkt. "Dit is alleen een noodoplossing. Patch zodra PHP de update uitbrengt", aldus Knecht (onze vertaling) 14. Ook Patchstack, dat WordPress-sites beveiligt, kreeg woensdagochtend van meerdere hostingpartners meldingen van actief misbruik 21. Het Australische cybercentrum ACSC zei juist dat het geen actief misbruik kende, en watchTowr meldde woensdag ook nog geen misbruik in de praktijk 1416. Sansec verwachtte dat massale aanvallen binnen vijftien minuten na de publicatie van de update zouden beginnen 20.

Het Nationaal Cyber Security Centrum noemde de kwestie op een persconferentie "geen aanval, maar een weeffout" in de programmeertaal. Het NCSC waarschuwt dat sites na de update niet altijd meteen terug zijn: "Sommige websites kunnen een knop omzetten, maar voor andere websites kan het langer duren. Afhankelijk van welke versie ze gebruiken." Ook sluit het NCSC niet uit dat er later nog een update komt, als de eerste niet alle problemen oplost 3.

Buitenland

Ook buiten Nederland gingen sites uit de lucht. In Finland haalde Valtori, het ICT-centrum van de overheid, woensdagmiddag uit voorzorg overheidswebsites offline. Aanwijzingen dat de lekken werden misbruikt, waren er volgens de Finse berichtgeving toen nog niet 223. In Vlaanderen liet minister-president Matthias Diependaele alle Vlaamse overheidswebsites die op PHP draaien tijdelijk offline halen. "De continuïteit en veiligheid van de digitale dienstverlening voor onze burgers staan voorop", schreef hij 323. In België gingen onder meer ook het schoolplatform Smartschool, spoorbeheerder Infrabel en de VDAB uit de lucht. Het Belgische Centrum voor Cybersecurity zag nog geen aanvallen op Belgische websites en laat de keuze om sites offline te halen aan de organisaties zelf 23.

In Japan gaf het nationale cyberagentschap dezelfde waarschuwing, en volgens NU.nl gingen daar en in Frankrijk ook websites offline 3. Cyberagentschappen in Europa, Australië, Japan en het Verenigd Koninkrijk riepen op meteen bij te werken, of sites offline te halen tot dat gebeurd is 24. Opvallend is dat buitenlandse sites over het algemeen wel bereikbaar bleven. Volgens Corine Schipper-Derkse van het NCSC wordt daar waarschijnlijk "een andere risicoanalyse" gemaakt 3.

Wie is offline, wie is online?

Airwork bekeek in de nacht van woensdag op donderdag tussen 00.11 en 00.14 uur de publieke startpagina van de partijen die offline gingen en van 23 airlines en luchthavens die voor Nederlandse reizigers tellen, zoals een gewone bezoeker die ziet. Alle 23 airlines en luchthavens in het overzicht waren online en geen enkele toonde een onderhoudsmelding.

Dit is een momentopname van donderdag 22 oktober, 00.11 tot 00.14 uur, gemeten aan de publieke startpagina. Bij NotuBiz gaat het om de raadsinformatie van Den Haag en Breda. Een app is niet op deze manier te meten: de status van de Schiphol-app is zoals Schiphol die meldde, die van LocalFocus zoals het ANP die meldde.

Geen hack, wel dezelfde zwakke plek

Het voorval past in een reeks digitale incidenten rond reizen en luchtvaart van de afgelopen weken. Op 12 oktober schreven we hoe Albert Heijn, TUI en KLM binnen een paar dagen met digitale problemen kampten. TUI bevestigde in België een datalek, terwijl klanten nepberichten met hun eigen hotel en reisdatum kregen. Air France-KLM bevestigde onbevoegde toegang tot interne mappen, nadat de groep Xuanye een datalek claimde.

Een verband met die zaken is niet aangetoond. Ahold Delhaize zegt geen reden te zien om de aanval op Albert Heijn in verband te brengen met de PHP-lekken 4. Ook verder legt geen enkele bron een gemeenschappelijke dader of techniek tussen de PHP-lekken en de incidenten bij Albert Heijn, TUI of Air France-KLM. Bij Luchtvaartnieuws.nl is ook geen inbraak gemeld: de site ging uit de lucht omdat de software eronder een ernstig lek bevatte waarvoor pas woensdagmiddag een reparatie kwam.

Wat de zaken wel delen, is het patroon dat we eerder beschreven: de zwakke plek ligt vaak buiten het eigen bedrijf. Bij de aanval op de incheck-software MUSE in september 2025 was het een leverancier, bij de datalekken van 2025 een extern klantenserviceplatform. Nu is het een bouwsteen die onder een groot deel van het web ligt. Een nieuwssite, een gemeente of een vliegschool kan alles goed op orde hebben en toch uit de lucht moeten, omdat een onderdeel waar iedereen op leunt een lek bevat.

Heb je zelf een website?

Veel vliegclubs, vliegscholen, zweefvliegclubs en spottersgroepen hebben een website op WordPress of een ander PHP-systeem. Vraag je hostingpartij of beheerder of PHP al is bijgewerkt naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35 12. De automatische updates van WordPress repareren dit lek niet, waarschuwt beveiligingsplugin Wordfence: PHP draait op de server en wordt daar bijgewerkt 14. Draai je een oude PHP-versie, vraag dan nu naar een upgrade 20. Kun je niet snel patchen, volg dan het advies van CERT-EU en haal de site tijdelijk offline 17.

Wat je als lezer doet

Oplichters spelen graag in op nieuws over lekken en hacks. Deze stappen helpen.

• Herken phishing. Wees wantrouwig bij mails, sms'jes of WhatsApp-berichten die je met haast vragen in te loggen, een account te "beveiligen" of iets te betalen, ook als ze over een bekend lek gaan of je naam kennen. Klik niet op de link, maar ga zelf naar de website of app van het bedrijf.
• Gebruik voor elke site een ander wachtwoord. Lekt er ergens een wachtwoord, dan kan niemand daarmee je andere accounts openen. Een wachtwoordmanager maakt dat makkelijk. Hoor je dat een dienst is gehackt, verander dan meteen je wachtwoord daar 25.
• Zet tweestapsverificatie aan. Met een code uit een app of een sms erbij heeft een aanvaller aan alleen je wachtwoord niet genoeg 25. Deel zo'n code nooit met iemand die je belt of appt.
• Meld oplichting. Ben je benaderd of opgelicht, meld het bij de Fraudehelpdesk en bel bij een betaling meteen je bank [26].