Op woensdag, 21 oktober 2026, zorgden twee grote lekken voor paniek op het internet.
PHP, een programmeertaal voor software die zo’n 70 procent van de websites gebruikt, bleek niet veilig. Meerdere grotere websites, zoals de website van de Tweede Kamer, DigiD en MijnOverheid, gingen daarom offline. Ook de website van EHBO Nederland ging die dag offline.
Diezelfde woensdag kwamen de ontwikkelaars van PHP met patches, een soort digitale ‘pleisters’ om het maar een beetje bij de EHBO te houden, om het lek te dichten.
Deze maatregelen werkten toen alleen voor bepaalde versies en dat maakte dat veel website de andere dag, donderdag 22 oktober, nog steeds offline bleven.

Lekken krijgen een score tussen 1 en 10 op een veiligheidsindex. Hoe hoger de score, des te hoger het risico op verlies van data als gevolg van een hack.
Deze twee PHP-lekken scoorden tussen de 9 en de 10. Dat betekende dat hackers op vrij eenvoudige wijze bij een website konden inbreken.
Doordat de lekken zo groot waren en zo hoog scoorden, waren hackaanvallen te automatiseren. Hacks gaan dan automatisch en dat gebeurt vaak met behulp van kunstmatige intelligentie (AI, Artificial Intelligence). AI kan kijken of de aanval goed gaat en als dat niet lukt, wordt er razendsnel iets aangepast, zodat de aanval wel werkt. Dit maakt dat er gemakkelijk veel aanvallen te plegen zijn tijdens zo’n lek.

Het maakt hackers niet uit of een website groot of klein is. Kleine websites, zoals die van EHBO-verenigingen, waren daarom niet minder kwetsbaar door het PHP-lek dan grote websites.
Hackers werken met automatische programma’s die bots heten. Deze scannen voortdurend het internet af op zoek naar kwetsbaarheden van websites. Als ze die vinden, krijgt de hacker een melding en breekt de bot automatisch in. Pas dan wordt gekeken waar ze hebben ingebroken.

Misschien denk je: de website van onze vereniging is niet zo bijzonder. Er staat maar weinig informatie op. Maar hackers konden met hun bots wel op jouw server komen en die gebruiken voor een volgende aanval op een andere website. De website van je vereniging wordt daarmee heel traag en je helpt ongemerkt mee bij een nieuwe hack, waarbij anderen dan gedupeerd worden.
Daarnaast staat vaak meer data op je website dan je vermoedt. Denk aan ledenadministratie, inschrijfformulieren, overzicht van donateurs, enzovoort. Je wilt niet dat al deze gegevens op straat komen te liggen.

Ik heb gezien dat veel websites van de bij EHBO Nederland aangesloten verenigingen zijn gebouwd met WordPress. Dit veelgebruikte programma heeft PHP als programmeertaal.
Ik heb ook gezien dat een aantal van deze websites niet ‘op zwart’ is gegaan op 21 oktober.
Om deze reden wil ik de verenigingen oproepen om bij hun webbeheerder te checken of er sprake is van een lek in de PHP-versie waarop hun website draait en vraag of de beveiligingsupdates uitgevoerd zijn. Voor de website van EHBO Nederland zijn alle benodigde beveiligingsupdates voor PHP uitgevoerd en ook is de website handmatig gecontroleerd op een correcte werking. De website was donderdag, 22 oktober, weer online.

Het PHP-lek heeft onze digitale kwetsbaarheid aangetoond. Wij profiteren dagelijks van het gemak van het internet. Of dat nou online bankieren, DigiD, of Buienradar is. De prijs van dat gemak is kwetsbaarheid en dat is nu net iets waar we maar moeilijk mee om kunnen gaan.
En dat terwijl we vanuit de overheid gestimuleerd worden om ons voor te bereiden op scenario’s als deze met als doel dat we 72 uur zonder stroom, water, of internet kunnen. We moeten weerbaarder worden. Cyberexperts geven als belangrijkste oorzaak voor onze kwetsbaarheid aan dat we “de veiligheidslat niet hoog genoeg leggen”. Niet alleen de dreiging van welke grootmacht dan ook, maar een simpel PHP-lek is al voldoende om dit aan te tonen.