Nederlandse overheid en bedrijven trekken uit voorzorg de stekker uit het internet.
Den Haag, woensdag, 21 oktober 2026. Vandaag, woensdag 21 oktober 2026, zijn cruciale Nederlandse websites zoals DigiD, de Tweede Kamer en universitaire netwerken uit voorzorg offline gegaan. De oorzaak is een ernstig beveiligingslek in PHP, de programmeertaal waarop maar liefst 70 procent van het wereldwijde internet draait. Door dit lek kunnen hackers op afstand complete webservers overnemen. Omdat kwaadwillenden meteen toeslaan, kiezen organisaties voor de veilige weg: de systemen uitschakelen tot de noodupdate om 16.00 uur verschijnt. Cyberbeveiliger Cloudflare ziet de eerste aanvallen al binnenkomen. Het NCSC adviseert iedereen met een PHP-site om de patch direct te installeren. Wie niet snel genoeg update, loopt het risico dat criminelen er met de data vandoor gaan. Beter een tijdelijk lege pagina dan al je gegevens op straat.
chaos in den haag en de rest van het land
In Den Haag en verscheidene Nederlandse gemeenten stonden burgers op woensdag 21 oktober 2026 voor dichte digitale deuren [1][4]. Overheidsdiensten zoals DigiD en MijnOverheid gingen uit voorzorg op zwart [4][5]. Ook de website van de Tweede Kamer, busbedrijf EBS en het landelijke SURF-netwerk voor hogescholen en universiteiten stopten hun diensten [1][4]. Wie op deze woensdag een overheidszaak wilde regelen of een online college wilde volgen, stuitte op een virtuele muur [1][4]. Met het uitschakelen van de systemen voorkomen beheerders dat digitale inbrekers gevoelige burgersleutels en persoonlijke data stelen [2][4].
de motor van het internet sputtert
De aanleiding voor de actie is een ernstig veiligheidslek in de programmeertaal PHP [1][3]. Circa 70 procent van alle websites wereldwijd draait op deze software [1][2]. Twee specifieke lekken, bekend onder de namen CVE-2026-109618 en CVE-2026-109619, geven kwaadwillenden de mogelijkheid om een webserver op afstand volledig over te nemen [3][5]. Cyberbeveiliger Cloudflare registreerde op woensdagochtend 21 oktober 2026 de eerste gerichte aanvallen [2][6]. Ethisch hacker Wouter van Dongen legt uit dat hackers massaal op dit soort kwetsbaarheden duiken [2][6].
koortsachtig wachten op de digitale pleister
De ontwikkelaars van PHP beloofden op woensdag 21 oktober 2026 om 16.00 uur een beveiligingsupdate uit te brengen [1][3]. Beveiligingsbedrijf Sansec verwachtte dat criminelen al binnen 15 minuten na publicatie geautomatiseerde aanvallen zouden lanceren [3]. Het Nationaal Cyber Security Centrum (NCSC) adviseert alle organisaties met klem om de veiligheidsupdate meteen door te voeren [1][5]. Wie niet direct kan patchen, doet er verstandig aan om de stekker er tijdelijk uit te laten [5][7].