Waarom is deze website offline voor onderhoud? Noodpatches uitgelegd

WindowsMaciPhoneAndroidBijgewerkt 2026-10-24

Op 22 oktober 2026 schreef het Nationaal Cyber Security Centrum (NCSC) aan organisaties die PHP nog niet hadden bijgewerkt: "Houd systemen die nog kwetsbaar zijn uit voorzorg offline totdat je de updates hebt doorgevoerd." Een site offline houden tot de update gedaan is, is een van de redenen waarom je een onderhoudspagina kunt zien. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Na de bekendmaking van twee kritieke PHP-kwetsbaarheden op 21 oktober 2026 vroegen het NCSC en andere instanties organisaties om PHP te updaten, en kwetsbare systemen offline te houden zolang dat niet gebeurd was. Een onderhoudspagina kan betekenen dat de eigenaar dat werk doet. Wacht af, kijk op de officiële kanalen van de site en vul niets in op nagemaakte pagina's.

Waarom gaan websites in onderhoud na een beveiligingswaarschuwing?

Omdat het probleem oplossen betekent dat de software op de server moet veranderen, en een server die niet snel kan worden bijgewerkt veiliger uit kan staan. PHP is een veelgebruikte programmeertaal voor websites en webapplicaties, en het PHP-project bracht op 21 oktober herstelde versies uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Het NCSC schrijft dat tijdelijke maatregelen alleen bepaalde aanvalspaden beperken, en dat alleen een beveiligingsupdate de kwetsbaarheden volledig verhelpt. Onze uitleg over de PHP-kwetsbaarheid gaat over de fouten zelf, en wat is PHP? legt uit waarom een fout op de server zoveel sites raakt.

In Nederland was dat op 21 oktober goed te zien. Het NCSC haalde uit voorzorg zijn eigen website tijdelijk offline, en meerdere andere organisaties, waaronder overheidsinstanties, schakelden hun websites preventief uit. Volgens veiliginternetten.nl waren onder andere DigiD, MijnOverheid, een aantal websites van provincies en de website van de Tweede Kamer niet bereikbaar. Op 22 oktober meldde de site dat alle overheidswebsites die offline waren weer bereikbaar zijn.

Safeonweb, de Belgische site voor veilig internetten, legt uit waarom. Om het probleem op te lossen moesten beheerders weten waar het precies zat, maar zodra die informatie openbaar werd, konden ook cybercriminelen proberen er misbruik van te maken. Daarom haalden veel organisaties hun website uit voorzorg tijdelijk offline, ook Safeonweb zelf, enkele uren.

Wat adviseerden de officiële instanties?

Alle vier zetten updaten voorop. Ze verschillen in wat je doet als dat niet meteen lukt.

NCSC (Nederland). Installeer de updates zo snel mogelijk en wacht niet op signalen van misbruik. Op 22 oktober: "Zolang systemen niet zijn bijgewerkt, is het nodig deze uit voorzorg offline te houden." Het NCSC publiceerde een beslisboom waarmee organisaties nagaan welke maatregelen ze kunnen nemen. Beheer je je IT niet zelf, neem dan contact op met je hostingpartij of IT-leverancier.
NCSC (Verenigd Koninkrijk). Update PHP, en internetgerichte systemen eerst. Lukt dat niet, gebruik dan de tijdelijke maatregelen van de PHP Foundation. Kunnen die niet worden toegepast of duurt dat te lang, overweeg dan het systeem offline te halen tot het volledig is beveiligd.
CISA (Verenigde Staten). Patch meteen. Organisaties die niet kunnen updaten, of PHP 8.1 of ouder draaien, moeten PHP-systemen offline halen tot ze zijn bijgewerkt.
IPA (Japan). Laat een kwetsbaar systeem niet draaien terwijl een update nog moet gebeuren. Neem tijdelijke maatregelen en beperk de toegang. Lukt dat niet goed, beslis dan of je toegang van buiten blokkeert of de dienst tijdelijk stopt, en weeg daarbij de mogelijke schade af tegen de gevolgen voor je organisatie.

Wat doe ik als een site die ik gebruik in onderhoud is?

Vooral afwachten. Het herstel is de taak van de eigenaar van de site, en niets wat je op je eigen telefoon of computer installeert, repareert de server van een website. Safeonweb schrijft dat je voor dit specifieke beveiligingsprobleem zelf niets hoeft te doen.

Kijk op de officiële kanalen van de site voor nieuws, zoals de echte sociale-media-accounts van de organisatie of een app die je al gebruikt. Toen NCSC.nl zelf offline was, verwees veiliginternetten.nl voor actuele informatie naar advisories.ncsc.nl, de LinkedIn-pagina van het NCSC en de NCSC Community.
Moet je het bedrijf bereiken, gebruik dan contactgegevens die je vertrouwt. Veiliginternetten.nl zegt dat je de gegevens zelf opzoekt en nooit de contactgegevens in een bericht gebruikt.
Ga later terug naar de site door het adres zelf te typen of je eigen bladwijzer te gebruiken, niet via een link die iemand je stuurde.

Moet ik oppassen voor nagemaakte pagina's terwijl een site offline is?

Ja. De Fraudehelpdesk zegt dat websites van bedrijven en organisaties heel goed worden nagemaakt, zodat je niet kunt zien dat ze nep zijn. Veiliginternetten.nl beschrijft spoofing: een crimineel maakt een website, e-mailadres of telefoonnummer precies na, zodat het lijkt alsof je met een vertrouwde organisatie te maken hebt. Een bericht dat zegt dat een site die je gebruikt is verhuisd, of dat je "tijdens het onderhoud" ergens anders moet inloggen, verdient dus wantrouwen.

Vul geen wachtwoord, kaartnummer of persoonsgegevens in op een pagina die je via een onverwachte mail, sms of advertentie bereikte. Heb je dat al gedaan, lees dan hoe je een nepmail herkent en wat je daarna doet. Een verdachte mail met links stuur je door naar valse-email@fraudehelpdesk.nl.

Betekent "offline voor onderhoud" dat de site gehackt is?

Niet per se. Een onderhoudspagina vertelt je dat de site niet beschikbaar is, niet waarom. Het NCSC vroeg organisaties om kwetsbare systemen uit voorzorg offline te houden tot de updates waren doorgevoerd, dus een onderhoudspagina kan simpelweg betekenen dat dat werk bezig is.

Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Het schrijft ook dat misbruik ingewikkeld is en dat de kans op grootschalig misbruik kleiner is dan eerder werd ingeschat. Het Belgische CCB had op 22 oktober, volgens Safeonweb, nog geen meldingen ontvangen van websites die hierdoor gehackt zijn.

Blijkt bij een bedrijf dat persoonsgegevens van klanten zijn geraakt, dan is dat een aparte kwestie met eigen stappen. Onze gids zijn mijn persoonsgegevens in gevaar? legt uit hoe je dat normaal hoort en wat je intussen kunt doen.

Waarom duurt het zo lang voordat de site terug is?

Sommige eigenaren kunnen snel updaten, andere niet. Het Japanse IPA beschrijft de moeilijke gevallen: systemen die lang niet zijn bijgewerkt, waar een nieuwe PHP-versie aanpassingen aan de eigen code van de site en nieuwe tests vraagt, en waar ontbrekende documentatie of kennis uit de bouwtijd, vertrokken personeel of afgelopen onderhoudscontracten het werk kunnen ophouden. Organisaties die de mensen, het budget en het onderhoud niet rond krijgen, raadt het IPA aan een overstap naar een product of dienst met onderhoud te overwegen, functies te beperken of de site helemaal uit de lucht te halen. Het vraagt ze ook te plannen hoe ze gebruikers op alternatieven wijzen.

Meer vragen

Is het veilig een website te bezoeken die terug is na onderhoud?

De PHP-kwetsbaarheden zitten in software op de server, niet in je apparaat. Het PHP-advies noemt PHP-installaties die webverzoeken verwerken. Voor de bredere vraag legt onze gids kun je gehackt worden door een website te bezoeken? uit wat een gehackte site bij bezoekers kan doen.

Zijn de PHP-kwetsbaarheden al misbruikt?

Wat het NCSC op 23 oktober 2026 meldde, staat hierboven. In zijn waarschuwing van 21 oktober, herzien op 23 oktober 2026, schrijft CISA dat het op het moment van publicatie geen geslaagd misbruik van deze kwetsbaarheden in de praktijk ("in the wild") heeft waargenomen. Tot en met 23 oktober 2026 geeft geen van de officiële berichten in deze gids een aantal getroffen websites.

Wat betekent "noodonderhoud"?

Dat woord komt niet uit de officiële adviezen. Het advies van het PHP-project gebruikt het woord onderhoud niet. Het is de eigen omschrijving van de eigenaar van de site. Wat het NCSC beschrijft, is updaten, of systemen uit voorzorg offline houden tot de update gedaan is.

Waarom raakt PHP-onderhoud zoveel verschillende sites?

Omdat veel sites dezelfde PHP-software gebruiken. Het Britse NCSC schrijft dat organisaties met elke versie van PHP getroffen zijn, en CISA dat PHP vaak een onderdeel is van andere software, dus ook sites die PHP nergens noemen, kunnen werk hebben.

Moet ik mijn wachtwoord wijzigen voor een site die offline ging?

Geen van de officiële berichten in deze gids vraagt dat alleen omdat een site offline ging. Laat het bedrijf je weten dat er iets met je account is gebeurd, volg dan de instructies via zijn officiële kanalen.