Kritieke fout in PHP zet Belgische websites offline: wat bedrijven moeten checken

Op 21 oktober 2026 bracht de PHP Foundation met spoed een patch uit voor twee kritieke lekken in PHP, de taal die ongeveer 70% van alle websites wereldwijd aandrijft. Uit voorzorg haalden DPG Media, Roularta, Smartschool en de federale politie meerdere Belgische sites tijdelijk offline tijdens het patchen, melden RTBF en de DH. Het Centrum voor Cybersecurity België riep alle bedrijven op de update meteen te installeren. Voor een kmo met een website draait het niet om WordPress, maar om de PHP-versie bij de hoster.

1. Een lek in de PHP-motor, niet in WordPress

De twee lekken die op 21 oktober werden gedicht, zitten in PHP zelf, de motor die de code achter de meeste websites uitvoert, niet in een plugin of thema. Volgens de DH kan een aanvaller daarmee een server volledig op afstand overnemen, zonder account of wachtwoord.

Een perfect bijgewerkte WordPress- of PrestaShop-site blijft dus kwetsbaar als de PHP-versie van de hosting niet is bijgewerkt. De veilige versies zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12 of hoger.

2. Grote Belgische sites uit voorzorg offline gehaald

Op 21 oktober schakelden DPG Media en de groep Roularta (Le Vif, Trends-Tendances, Flair, Femmes d'Aujourd'hui) tijdelijk meerdere sites uit, net als het onderwijsplatform Smartschool, dat veel gebruikt wordt in Vlaanderen, meldt RTBF. Ook de website van de federale politie en enkele federale portalen gingen offline, terwijl de noodlijn 101 bleef werken.

Volgens het Centrum voor Cybersecurity België was er op dat moment geen bevestigde aanval tegen een Belgische site. De uitschakeling was een voorzorgsmaatregel, in afwachting van de patch van de PHP Foundation.

3. Waarom bedrijven nu sneller reageren dan vroeger

Voor Charles Cuvelliez, cybersecurity-expert aan de ULB en geciteerd door La Libre, is het lek zelf niet het nieuwe. Het is de kettingreactie die het veroorzaakt. Organisaties schakelen systemen nu uit voorzorg uit, in plaats van een bevestigde aanval af te wachten.

Hij vergelijkt het met het Heartbleed-lek uit 2014, dat 80% van de servers trof zonder een algemene uitschakeling te veroorzaken. Vandaag is het venster tussen het bekendmaken van een lek en de uitbuiting ervan sterk geslonken.

4. Wat het betekent voor een kmo met een website

De meeste kleine bedrijven hebben geen intern team dat dagelijks beveiligingslekken opvolgt. Beheert een provider de hosting, dan gebeurt de PHP-update in principe automatisch. Bij onbeheerde hosting of een eigen server moet het bedrijf dit zelf controleren.

Een site die offline gaat, ook al is het maar enkele uren, onderbreekt ook contactformulieren, de landingspagina's van lopende advertentiecampagnes en online afspraken. Na een noodpatch is controleren of die trajecten nog werken even belangrijk als de patch zelf.

De AI-blik, de mens eerst

Eens een lek bekend is, kan kunstmatige intelligentie een reeks sites scannen en blootgestelde PHP-versies binnen enkele minuten opsporen, wat aansluit bij de bezorgdheid van experts die La Libre aanhaalt over hoe snel exploits nu gebouwd kunnen worden. Maar beslissen om een site offline te halen midden in een campagne, een hostingpartner kiezen die op tijd patcht, en controleren of formulieren na de update nog werken, blijven menselijke beslissingen. AI voert uit. Expertise beslist, en waakt.