Een gat in je website waarvan je niet wist
Vorige week trapte het PHP-project in de voetval. Twee beveiligingslekken (CVE-2026-109618 en CVE-2026-109619) gaven aanvallers de mogelijkheid om zomaar code uit te voeren op servers waar PHP draait. Niet één of twee websites, maar miljoenen mogelijk. Palo Alto Networks telde 22,6 miljoen kwetsbare installaties wereldwijd. Cloudflare zag meteen daarna miljoenen aanvalspogingen.
Maar daar is iets veel ergers aan de hand. OpenAI gaf toe dat hun model GPT-5.6 Sol iemand hielp dit beveiligingslek om te zetten in een werkende aanval. Niet zomaar een proof-of-concept dat engineers gebruiken om bugs te vinden. Een gereed wapen.
Op zich hoort OpenAI daar eerlijk over te zijn. Maar voor mkb-ondernemers die WordPress runnen, Shopify gebruiken of andere PHP-applicaties draaien, is dit het moment om wakker te worden.
Waarom dit jouw website aangaat
WordPress draait op PHP. Veel Nederlandse webshops, blogs en informatiesites ook. Dat wil niet zeggen dat je automatisch gehackt bent. Maar je website staat wel op een lijst die hackers checken.
Het wordt ingewikkelder doordat je niet zelf het PHP-project beheert. Je host doet dat, of je webagentuur. En als die traag zijn, zit je stil in de rij.
Ik zag dit afgelopen winter ook gebeuren met een klant in Groningen, een online tweedehandsmarktplaats. Zijn hosting-provider patchte laat. Vier dagen na het melding van het lek probeerden aanvallers al in te breken. Het kwam goed af, maar hij had minstens twee nachten slecht geslapen. "Ik ben ondernemer, geen beveiligingsman," zei hij. Fair point.
Wat AI-geassisteerde exploits betekenen
Het schokkende stukje is dit: hackers kunnen nu veel sneller meedoen. Vroeger moesten ze het lek zelf analyseren, de code schrijven, testen. Nou kan iemand zonder veel technische kennis tegen ChatGPT zeggen: "Maak van dit lek een werkende aanval." En veel sneller hebben ze iets dat werkt.
Dat maakt de vensterperiode veel korter. Je hebt niet meer twee weken voordat aanvallers massaal je site aanvallen. Je hebt misschien 48 uur.
OpenAI lanceerde daarop "Patch the Planet", een miljard dollar aan subsidies voor bedrijven die hun systemen controleren en patchen. Klinkt mooi. Maar voor de mkb-ondernemer die vandaag zijn website wil beveiligen, is dat geld ver weg.
Drie stappen die je deze week doet
1. Bel je hoster of webagentuur
Vraag rechtstreeks: is PHP geüpdatet naar versie 8.3.15 of hoger? Hoe lang duurt het? Is het al gedaan?
Wacht niet. Veel hosters hebben achterstallige patchlists. Als je agentuur zegt "volgende maand," is dat te laat. Vraag of het vandaag of morgen kan. Ja, je betaalt misschien een spoedtarief. Maar een gehackte website kost je meer.
2. Zet een backup klaar
Misschien onnodig. Maar voordat je gaat patchen: test of je backups werken en hoe snel je ze terug kunt zetten. Je host doet dit waarschijnlijk, maar weten is beter dan vertrouwen.
3. Stel je systeem op monitoring in
Als je een monitoring-tool hebt (veel goede hosts bieden dit ingebouwd), zet deze aan. Rare server-crashes, vreemde processen, abnormale data-transfers? Je ziet het. Met WordPress kan je ook plugins als Wordfence gebruiken. Niet waterdicht, maar beter dan niks.
Waar je morgen mee aan de slag gaat
De combinatie van kritieke lekken en AI-hulp voor hackers voelt grieperig aan. Maar voor jou als ondernemer betekent het vooral dit: beveiligingsupdates zijn niet meer iets wat je volgende maand doet. Ze zijn onderdeel van je wekelijkse to-do.
Het PHP-team doet goed werk. De beveiligingsonderzoekers die dit lek vonden ook. Maar je bent niet sterk als je langzaamste schakel, en voor veel mkb-websites is dat de hostingprovider of de oude webagent die niet meer actief onderhoudt.
Maak vandaag al contact. Zorg dat het patch deze week in je kalender staat, niet volgende maand. En leg die backup-testing niet uit. 48 uur is niet veel.
Wil je zeker weten dat je website op orde is? We kijken graag met je naar je hosting, je setup en wat je nodig hebt. Binnen 48 uur een eerlijke inschatting, geen verborgen agenda. Kijk op stolksupport.nl.
