PHP-lek, websites uit voorzorg offline
- Impact
- Websites en diensten op onze PHP-servers waren tijdelijk onbereikbaar. Payload-websites hadden geen last, omdat Payload geen PHP gebruikt.
- Begonnen
Toelichting
Wat er speelt
Wat is er gebeurd?
Op dinsdag 20 oktober 2026 maakte PHP twee ernstige kwetsbaarheden bekend. Op woensdag 21 oktober hebben we uit voorzorg alle servers waarop PHP draait offline gehaald, omdat er signalen waren dat hackers actief misbruik probeerden te maken van de lekken. De beveiligingsupdate kwam om 16.00 uur beschikbaar. Vanaf de avond van 21 oktober zijn de websites server voor server weer online gezet.
Wie had er last van?
- Websites en diensten op onze PHP-servers, zoals Drupal, WordPress en Laravel, waren tijdelijk onbereikbaar.
- Klanten met alleen een Payload-website bij Emble hadden geen last. Payload gebruikt geen PHP.
- Een klein aantal websites kan niet terug online zonder extra maatregelen, omdat ze draaien op software die niet werkt met de gepatchte PHP-versies. Met deze klanten hebben we individueel contact.
Geen aanwijzingen voor misbruik
We hebben geen aanwijzingen gevonden dat de kwetsbaarheden zijn misbruikt om toegang te krijgen tot websites of om gegevens buit te maken. Dat beeld komt overeen met de berichtgeving van de PHP Foundation en van cybersecurityorganisaties zoals het Nederlandse NCSC en het Amerikaanse CISA.
Vragen?
Werkt er iets niet zoals verwacht? Mail naar support@emble.nl.
Tijdlijn
Updates
- Opgelost
Alle websites die we tijdelijk offline hadden gehaald, zijn weer online. We hebben geen aanwijzingen gevonden voor een datalek of ongeautoriseerde toegang tot de servers.
Enkele verouderde applicaties blijven voorlopig offline, omdat ze niet veilig kunnen worden bijgewerkt. Met de eigenaren hebben we individueel contact opgenomen.
- Wordt opgelost
Een groot deel van de websites is weer bereikbaar. We installeren en testen de updates en zetten de websites op een server online zodra die server weer veilig en goed werkt.
- Is je website weer bereikbaar, maar werkt iets niet zoals verwacht? Meld het via support@emble.nl.
- Is je website nog niet bereikbaar? We werken de resterende servers een voor een af en zetten de websites online zodra dat verantwoord is.
Voor websites op verouderde software kan het herstel ingewikkelder zijn. De betreffende klanten informeren we apart over de mogelijkheden.
- Wordt opgelost
De eerste servers zijn bijgewerkt, getest en weer online. De websites gaan nu server voor server weer online.
- Wordt opgelost
De software van derden werkt met de nieuwste PHP-versie. We zijn begonnen met het bijwerken van de projecten.
- Wordt opgelost
De beveiligingsupdate voor PHP is beschikbaar. De websites kunnen nog niet direct online: ook software van derden op de servers moet eerst geschikt worden gemaakt voor de nieuwe PHP-versie.
Zodra dat kan, gaan onze ontwikkelaars en systeembeheerders de update beoordelen, testen en installeren. Pas als we hebben vastgesteld dat een server weer veilig is, maken we de websites erop opnieuw bereikbaar.
- Wordt opgelost
Alle servers met een PHP-applicatie zijn niet meer bereikbaar. We hebben alle klanten per mail op de hoogte gebracht.
Belangrijk: deze maatregel is volledig preventief. Het offline halen van de servers betekent niet dat er misbruik heeft plaatsgevonden op onze systemen.
- Wordt opgelost
De eerste applicaties zijn uitgeschakeld door ze via de firewall te blokkeren.
- Wordt opgelost
Er zijn signalen dat hackers actief misbruik proberen te maken van de kwetsbaarheden. In een spoedoverleg besluiten we uit voorzorg alle servers met PHP-applicaties tijdelijk onbereikbaar te maken.
We realiseren ons dat deze maatregel ingrijpend is, maar vinden de veiligheid van je website en gegevens op dit moment belangrijker dan de beschikbaarheid.
- In onderzoek
We proberen de impact te bepalen, maar er is nog te weinig informatie om op te handelen.
- In onderzoek
De beveiligingsmelding is gedeeld binnen ons developmentteam.
- In onderzoek
PHP, de software waarop onder andere Drupal, WordPress en Laravel draaien, maakt twee ernstige beveiligingslekken bekend. Deze kwetsbaarheden kunnen hackers toegang geven tot servers en websites.
Drupal.org meldt dat de beveiligingsupdate voor PHP volgt op woensdag 21 oktober om 16.00 uur.