Woensdag 21 oktober 2026 zijn de websites van DigiD, MijnOverheid en verschillende andere organisaties uit voorzorg tijdelijk offline gehaald. Volgens een woordvoerder van beheerorganisatie Logius kunnen burgers DigiD nog wel gebruiken om bij verschillende instanties in te loggen. Het tijdelijk offline halen van de DigiD-website betekent dus niet dat de inlogdienst overal buiten werking is. Aanleiding zijn twee kritieke beveiligingslekken in PHP, een programmeertaal waarop veel websites draaien. De officiële ontwikkelaars hebben een beveiligingsupdate aangekondigd voor 16.00 uur Nederlandse tijd.

Ook overheidswebsites tijdelijk offline

Volgens de NOS gaat het naast DigiD en MijnOverheid onder meer om websites en diensten van de Tweede Kamer, de Autoriteit Persoonsgegevens en het Nationaal Cyber Security Centrum (NCSC). Ook andere organisaties hebben systemen tijdelijk uitgeschakeld om mogelijk misbruik te voorkomen. De bereikbaarheid kan gedurende de dag veranderen.

Wat is er aan de hand met PHP?

De PHP-ontwikkelaars waarschuwden op 20 oktober voor twee ernstige kwetsbaarheden. Beide kregen een score van 9,2 op 10 binnen de CVSS 4.0-beoordeling. Een aanvaller zou, afhankelijk van de kwetsbaarheid en de configuratie, mogelijk ongeautoriseerd code kunnen uitvoeren op een kwetsbare server. Welke versies precies getroffen zijn, wordt volgens de officiële aankondiging bij het uitbrengen van de beveiligingsupdates bekendgemaakt.

Het Britse National Cyber Security Centre adviseert beheerders om PHP-systemen te inventariseren, verdachte activiteit te controleren en updates onmiddellijk uit te voeren zodra deze beschikbaar zijn. Websites die niet tijdig beschermd kunnen worden, kunnen tijdelijk offline worden gehaald.

Zijn persoonsgegevens gestolen?

Dat websites uit voorzorg offline gaan, betekent niet dat er daadwerkelijk is ingebroken of dat persoonsgegevens zijn buitgemaakt. Volgens de NOS heeft Cloudflare wel pogingen gezien om de zwakke plekken te misbruiken. Het NCSC meldde op het moment van berichtgeving nog geen bevestigd actief misbruik te hebben vastgesteld.

Wat kunnen gebruikers doen?

Wie DigiD of MijnOverheid nodig heeft, kan de officiële kanalen controleren en het later opnieuw proberen als een dienst tijdelijk onbereikbaar is. Wees extra alert op berichten die zogenaamd namens een overheidsdienst vragen om via een link in te loggen. Gebruik bij twijfel rechtstreeks het bekende webadres. Een wachtwoord wijzigen is niet automatisch nodig alleen omdat een website tijdelijk offline is.

Ook relevant voor ondernemers en websitebeheerders in Parkstad

PHP wordt ook gebruikt door WordPress en veel andere websites. Websitebeheerders doen er verstandig aan hun hostingprovider te vragen welke PHP-versie hun website gebruikt, welke tijdelijke bescherming mogelijk is en wanneer de aangekondigde beveiligingsupdate wordt toegepast. WordPress of plug-ins bijwerken vervangt een noodzakelijke serverupdate niet.

Parkstad Actueel schreef eerder over digitale berichten van de Belastingdienst en veilige toegang tot medische gegevens.

Bronnen: NOS (21 oktober 2026), PHP Security Team en Brits NCSC. Foto: Adobe Stock – ter illustratie.