Luchtvaartnieuws.nl is woensdag uit voorzorg offline gehaald. Bezoekers zien een melding dat de site tijdelijk niet bereikbaar is vanwege een beveiligingskwetsbaarheid in PHP, de software waarop de site draait. Volgens die melding gaat het om een voorzorgsmaatregel en betekent de onderbreking op zichzelf niet dat er sprake is van een hack of datalek. Wanneer de site terugkomt, is nog niet bekend.

De nieuwssite staat daarin niet alleen. Na een waarschuwing van het Europese cyberteam CERT-EU voor twee kritieke lekken in PHP haalden ook persbureau ANP en NotuBiz, het systeem waarmee ruim honderd gemeenten, provincies en waterschappen raadsinformatie publiceren, uit voorzorg systemen uit de lucht 12. De makers van PHP brengen woensdag om 16.00 uur Nederlandse tijd een noodupdate uit 34.

Wat er aan de hand is

PHP is een programmeertaal waarop een groot deel van het web draait, van WordPress en Drupal tot Joomla en Magento en de beheerpanelen van hostingbedrijven 5. Volgens ethisch hacker Wouter van Dongen draait wereldwijd ongeveer 70 procent van de websites op PHP of op toepassingen die ermee zijn gebouwd. "Het gevaar is dat die sites worden overgenomen of dat iemand bij alle data kan", zei hij tegen het ANP 6.

Het PHP-beveiligingsteam kondigde dinsdag 20 oktober een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, allebei met een score van 9,2 op de schaal CVSS v4.0, die tot 10 loopt 3. Onderzoekers van watchTowr zeggen dat het om CVE-2026-109618 en CVE-2026-109619 gaat 47. Volgens CERT-EU wijst de score op een risico dat een aanvaller op afstand en zonder in te loggen eigen code op een server kan uitvoeren. Technische details zijn officieel nog niet bekendgemaakt 8.

PHP wilde de lekken aanvankelijk op donderdag bekendmaken. Eerder deze week lekte echter al informatie uit, via een bericht op het techforum Hacker News dat inmiddels is verwijderd. PHP besloot daarop de bekendmaking te vervroegen 4. Het team schreef zich het recht voor nog eerder te publiceren als details openbaar zouden worden of als er misbruik zou opduiken 3. Er gaat volgens Tweakers inmiddels een video rond van een aanvalsprogramma, maar of die echt is, is niet onafhankelijk vastgesteld 49.

Advies: patchen of de site offline halen

CERT-EU, het cyberteam van de Europese instellingen, adviseert organisaties zich voor te bereiden om meteen te patchen zodra de update er is. Wie dat niet direct kan, moet volgens CERT-EU overwegen internetgerichte toepassingen af te schermen tot er een oplossing is 8. Dat is precies wat Luchtvaartnieuws.nl, ANP en NotuBiz deden. NotuBiz zegt dat er geen aanwijzingen zijn voor een veiligheidslek en weet nog niet wanneer de sites terugkomen 210. Onder meer Den Haag, Almere, Breda, Haarlem en Delft en de provincies Overijssel, Gelderland en Fryslân gebruiken het systeem 210.

Welke PHP-versies kwetsbaar zijn, maakt PHP pas bij de update bekend 3. CERT-EU houdt rekening met alle versies vanaf PHP 5 8. Volgens beveiligingsbedrijf Sansec krijgen versies ouder dan PHP 8.2, die niet meer worden onderhouden, geen officiële reparatie. Wie daarop draait, doet er volgens Sansec goed aan zijn hostingpartij nu om een upgrade te vragen 11.

Worden de lekken al misbruikt?

Daarover lopen de signalen uiteen. Dane Knecht, technisch directeur van internetbeveiliger Cloudflare, schreef woensdag op X dat Cloudflare de eerste aanvallen ziet en zijn firewallregels bijwerkt. "Dit is alleen een noodoplossing. Patch zodra PHP de update uitbrengt", aldus Knecht (onze vertaling) 5. Ook Patchstack, dat WordPress-sites beveiligt, kreeg woensdagochtend van meerdere hostingpartners meldingen van actief misbruik 12. Het Australische cybercentrum ACSC zei juist dat het geen actief misbruik kende, en watchTowr meldde woensdag ook nog geen misbruik in de praktijk 57. Sansec verwacht dat massale aanvallen binnen vijftien minuten na de publicatie van de update beginnen 11.

Geen hack, wel dezelfde zwakke plek

Het voorval past in een reeks digitale incidenten rond reizen en luchtvaart van de afgelopen weken. Op 12 oktober schreven we hoe Albert Heijn, TUI en KLM binnen een paar dagen met digitale problemen kampten. TUI bevestigde in België een datalek, terwijl klanten nepberichten met hun eigen hotel en reisdatum kregen. Air France-KLM bevestigde onbevoegde toegang tot interne mappen, nadat de groep Xuanye een datalek claimde.

Een verband met die zaken is niet aangetoond. Geen enkele bron legt een gemeenschappelijke dader of techniek tussen de PHP-lekken en de incidenten bij Albert Heijn, TUI of Air France-KLM. Bij Luchtvaartnieuws.nl is ook geen inbraak gemeld: de site ging uit de lucht omdat de software eronder een ernstig lek bevat dat nog niet is gerepareerd.

Wat de zaken wel delen, is het patroon dat we eerder beschreven: de zwakke plek ligt vaak buiten het eigen bedrijf. Bij de aanval op de incheck-software MUSE in september 2025 was het een leverancier, bij de datalekken van 2025 een extern klantenserviceplatform. Nu is het een bouwsteen die onder een groot deel van het web ligt. Een nieuwssite, een gemeente of een vliegschool kan alles goed op orde hebben en toch uit de lucht moeten, omdat een onderdeel waar iedereen op leunt een lek bevat.

Heb je zelf een website?

Veel vliegclubs, vliegscholen, zweefvliegclubs en spottersgroepen hebben een website op WordPress of een ander PHP-systeem. Vraag je hostingpartij of beheerder of PHP direct na 16.00 uur wordt bijgewerkt. De automatische updates van WordPress repareren dit lek niet, waarschuwt beveiligingsplugin Wordfence: PHP draait op de server en wordt daar bijgewerkt 5. Draai je een oude PHP-versie, vraag dan nu naar een upgrade 11. Kun je niet snel patchen, volg dan het advies van CERT-EU en haal de site tijdelijk offline 8.

Wat je als lezer doet

Oplichters spelen graag in op nieuws over lekken en hacks. Deze stappen helpen.

• Herken phishing. Wees wantrouwig bij mails, sms'jes of WhatsApp-berichten die je met haast vragen in te loggen, een account te "beveiligen" of iets te betalen, ook als ze over een bekend lek gaan of je naam kennen. Klik niet op de link, maar ga zelf naar de website of app van het bedrijf.
• Gebruik voor elke site een ander wachtwoord. Lekt er ergens een wachtwoord, dan kan niemand daarmee je andere accounts openen. Een wachtwoordmanager maakt dat makkelijk. Hoor je dat een dienst is gehackt, verander dan meteen je wachtwoord daar 13.
• Zet tweestapsverificatie aan. Met een code uit een app of een sms erbij heeft een aanvaller aan alleen je wachtwoord niet genoeg 13. Deel zo'n code nooit met iemand die je belt of appt.
• Meld oplichting. Ben je benaderd of opgelicht, meld het bij de Fraudehelpdesk en bel bij een betaling meteen je bank 14.