Zijn mijn persoonsgegevens in gevaar door de PHP-kwetsbaarheid?

MacWindowsiPhoneAndroidBijgewerkt 2026-10-24

Een kwetsbaarheid is een zwakke plek, en een zwakke plek in een website is niet hetzelfde als gestolen gegevens. PHP2Shell zijn twee kritieke kwetsbaarheden in PHP, de taal waar veel websites op draaien, opgelost op 21 oktober 2026. Het NCSC schreef op veiliginternetten.nl dat ze er onder meer toe kunnen leiden dat gegevens lekken. Tot en met 23 oktober 2026 noemt geen van de officiële bronnen in deze gids een website waar klantgegevens zijn weggenomen.

Kort antwoord

Niet per se. PHP2Shell is een fout in webservers, en een server met die fout betekent niet dat er gegevens van zijn meegenomen. Lekt een organisatie je gegevens en loop je waarschijnlijk een hoog risico, dan moet die organisatie je volgens de Autoriteit Persoonsgegevens informeren. Gebruik intussen overal een ander wachtwoord, zet tweestapsverificatie aan en wantrouw berichten over datalekken.

Betekent de PHP-kwetsbaarheid dat mijn gegevens gestolen zijn?

Nee, niet op zichzelf. Veiliginternetten.nl omschrijft een datalek als toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. PHP2Shell is een zwakke plek die dat op een niet-bijgewerkte server mogelijk kan maken. Of er bij een bepaalde site echt iets is weggenomen, hangt ervan af of die site is aangevallen.

Dit zeggen de officiële bronnen tot nu toe, bijgewerkt tot 23 oktober 2026:

Het PHP-project bracht op 21 oktober herstelde versies uit en riep alle PHP-gebruikers op meteen te updaten.
Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Het schrijft ook dat de kans op grootschalig misbruik kleiner is dan eerder werd ingeschat.
Het Belgische CCB had op 22 oktober, volgens Safeonweb, nog geen meldingen ontvangen van websites die hierdoor gehackt zijn. Safeonweb schrijft er wel bij dat niet volledig kan worden uitgesloten dat er ergens misbruik is gemaakt.

Geen van die berichten gaat over een bepaalde winkel, bank of dienst. Onze uitleg over de PHP-kwetsbaarheid gaat over de fouten zelf.

Hoe hoor ik het als een website die ik gebruik een datalek had?

De organisatie hoort het je te vertellen. De Autoriteit Persoonsgegevens (AP) schrijft dat een organisatie een datalek bij de AP moet melden, tenzij het niet waarschijnlijk is dat het lek een risico oplevert voor de betrokkenen. Ze moet de slachtoffers informeren als het lek waarschijnlijk een hoog risico voor hen oplevert.

De gewone route is dus een mail, brief of bericht van het bedrijf zelf. De AP schrijft dat de organisatie je in zo'n waarschuwing meestal vertelt wat je kunt doen.

Vermoed je zelf een datalek bij een organisatie, meld het dan volgens de AP eerst bij die organisatie, omdat zij pas iets kan doen als ze het weet. Daarna kun je een datalektip bij de AP indienen. Neem contact op via de website of het telefoonnummer dat je zelf opzoekt, niet via de gegevens in een bericht dat je kreeg. Veiliginternetten.nl raadt dat ook aan.

Moet ik mijn wachtwoord op die site wijzigen?

Als de dienst een datalek meldt, ja. Veiliginternetten.nl zegt dat je je wachtwoord wijzigt als de dienst waar je een account hebt te maken heeft met een datalek.

Ga naar de site door het adres zelf in te typen of de app te gebruiken, niet via een link in een mail of sms.
Wijzig het wachtwoord in de beveiligingsinstellingen van je account.
Wijzig het ook overal waar je hetzelfde wachtwoord gebruikt. Veiliginternetten.nl zegt dat criminelen een gestolen wachtwoord vaak bij zoveel mogelijk diensten uitproberen.
Gebruik voor elk account een ander, sterk wachtwoord of een wachtwoordzin van minimaal 12 tekens. Een wachtwoordmanager kan ze voor je onthouden. Waar een site een passkey aanbiedt, kun je volgens veiliginternetten.nl ook die gebruiken.

Moet ik tweestapsverificatie aanzetten?

Ja, waar dat kan. Veiliginternetten.nl zegt dat tweestapsverificatie een extra beveiligingslaag toevoegt: na je wachtwoord bevestig je op een tweede manier dat jij het bent, bijvoorbeeld met een code op een vertrouwd apparaat, een authenticatie-app of een vingerafdruk of gezicht. Het schrijft ook dat tweestapsverificatie je beschermt tegen wachtwoordlekken, omdat criminelen dan ook toegang tot je tweede verificatiemiddel nodig hebben.

Begin met je e-mail, en daarna je bank- en winkelaccounts. Voor een Apple Account, zie two-factor authentication for your Apple Account (Engelstalig).

Hoe herken ik oplichting die op het nieuws inspeelt?

Veiliginternetten.nl zegt dat je bank, creditcardmaatschappij, internetprovider of andere organisatie nooit per e-mail om je inlogcodes of wachtwoorden vraagt. Wordt daar wel om gevraagd, dan gaat het om een nepmail of nepbericht. Het noemt ook dat oplichters soms iets persoonlijks van je weten, bijvoorbeeld je wachtwoord uit een datalek.

Signalen die veiliginternetten.nl noemt:

er is haast bij, het moet nu of snel
de afzender doet zich voor als een ander, zoals de overheid of je bank
een algemene aanhef zoals "Beste klant"

Krijg je een vals bericht uit naam van een organisatie, meld het dan ook bij die organisatie. Safeonweb raadt aan nooit je wachtwoorden of beveiligingscodes te delen.

Wat controleer ik in mijn accounts?

Veiliginternetten.nl zegt dat je je wachtwoord wijzigt als iemand (mogelijk) toegang tot je account heeft, bijvoorbeeld als anderen vreemde berichtjes uit jouw naam krijgen. Denk je dat iemand anders in een account is geweest, lees dan someone else signed into your account (Engelstalig).

Veiliginternetten.nl noemt de dienst Have I Been Pwned en een controle van de politie om te zien of je e-mailadres in een gelekte database voorkomt. Ben je geld kwijt, neem dan direct contact op met je bank. Aangifte van cybercrime doe je volgens politie.nl via 0900-8844 of op een politiebureau.

Meer vragen

Krijg ik altijd bericht van een datalek?

Niet altijd. Volgens de AP moet een organisatie slachtoffers informeren als het lek waarschijnlijk een hoog risico voor hen oplevert. Een lek met minder risico bereikt je dus misschien niet rechtstreeks. Je kunt de organisatie altijd vragen wat er is gebeurd.

Heb ik recht op schadevergoeding na een datalek?

Mogelijk, onder voorwaarden. De AP noemt er drie: het lek ontstond doordat de organisatie zich niet aan de AVG hield, je hebt schade geleden, en die twee hangen als oorzaak en gevolg samen. De AP raadt aan eerst juridisch advies in te winnen en zegt zelf geen rol te spelen bij schadeclaims.

Hoe zit het in België?

Safeonweb schreef op 22 oktober dat je voor dit specifieke beveiligingsprobleem zelf niets hoeft te doen, en raadt aan alert te blijven op verdachte berichten en links. Ben je toch slachtoffer van oplichters, dan verwijst Safeonweb naar safeonweb.be/nl/opgelicht.

Moet ik iets installeren op mijn telefoon of computer?

Niet vanwege PHP2Shell. De fouten zitten in webservers, die de eigenaar van de site bijwerkt. Safeonweb raadt wel aan je smartphone en computer regelmatig bij te werken.

Vraagt mijn bank me hierdoor mijn gegevens te bevestigen?

Veiliginternetten.nl zegt dat je bank, verzekeraar en overheidsinstanties nooit op deze manier naar persoonsgegevens vragen. Vraagt een bericht over een datalek je in te loggen of gegevens te bevestigen, neem dan contact op via de website of app van de organisatie zelf.