Wie woensdag lokaal nieuws wilde lezen of online iets bij een organisatie wilde regelen, kon op een onbereikbare website stuiten. De aanleiding zijn twee ernstige beveiligingslekken in PHP, de programmeertaal waarop veel websites draaien. Beheerders haalden websites tijdelijk uit de lucht om het risico op misbruik te beperken.
Rolderpost tijdelijk offline
Bij een controle om 18.19 uur toonde Rolderpost nog een melding dat de website uit voorzorg offline was gehaald. De dorpskrant schrijft daarin dat het om een probleem in PHP gaat, niet om een kwetsbaarheid die alleen voor Rolderpost geldt. Volgens diezelfde melding zijn er geen aanwijzingen dat de website is overgenomen of dat gegevens zijn blootgesteld. De site wordt weer beschikbaar zodra de benodigde beveiligingsupdate succesvol is geïnstalleerd.
Ook de gemeente Aa en Hunze meldde woensdag dat een aantal online diensten uit voorzorg niet beschikbaar was vanwege een mogelijk softwarelek. De gemeentelijke homepage zelf was bij onze controle wel bereikbaar. De gemeente benadrukt dat er geen aanwijzingen zijn dat haar website is gehackt.
Het Drents Archief waarschuwde eveneens voor tijdelijke problemen. Leveranciers haalden systemen uit voorzorg offline, met gevolgen voor het doorzoeken van collecties en het digitaal bekijken van archiefstukken. Volgens het archief raakt dit ook het Geheugen van Drenthe en AlleKolonisten.nl.
Uit voorzorg is niet hetzelfde als gehackt
PHP verwerkt op de server onder meer gegevens voor websites en webapplicaties. Door de lekken zouden aanvallers op kwetsbare systemen eigen opdrachten kunnen uitvoeren. Het Nationaal Cyber Security Centrum adviseerde beheerders daarom per systeem af te wegen of aanvullende maatregelen nodig waren, zoals tijdelijk uitschakelen.
Een website die een onderhoudsmelding toont, is daarmee dus niet automatisch gehackt. Het offline halen kan juist een voorzorgsmaatregel zijn, in afwachting van een beveiligingsupdate en controles door de beheerder.
Updates inmiddels beschikbaar
Het PHP-team heeft woensdag beveiligingsupdates uitgebracht. Het NCSC meldde om 15.50 uur dat deze beschikbaar waren en adviseert de updates toe te passen. Voor bezoekers betekent dat niet dat alle websites direct weer werken: hostingbedrijven en beheerders moeten de updates eerst installeren en hun systemen controleren.
Rolde.nl bleef bereikbaar
Rolde.nl is woensdag niet preventief offline gehaald en bleef bereikbaar. Welke maatregelen nodig zijn, hangt af van de situatie van de betreffende website en de afweging van de beheerder. Dat een website online blijft, betekent op zichzelf niet dat zij geen PHP gebruikt.
Stand van zaken: woensdag 21 oktober 2026, controle van de genoemde homepages om 18.19 uur. De bereikbaarheid kan daarna zijn veranderd. Deze controle betreft geen onderzoek naar de beveiliging van de websites.
