Een ondernemer belt me op. Paniek in zijn stem. Zijn website ligt eruit. Niet door een storing, maar omdat zijn IT-partner uit voorzorg de stekker heeft getrokken. Voor veel zaakvoerders voelt dit als een onnodige overreactie: “Waarom moet mijn site offline als er ergens in de wereld een bug is gevonden?” Maar wie de technische realiteit begrijpt, weet dat dit de enige rationele keuze was.

De reden achter deze paniek is een kritiek lek in PHP. Voor de meeste ondernemers is PHP een betekenisloze afkorting, een technisch detail waar ze nooit over hebben gehoord. Totdat ze ontdekken dat meer dan 70 procent van alle websites wereldwijd op deze taal draait. Van de kleine lokale webshop tot de grootste klantportalen: de kans is enorm groot dat uw digitale aanwezigheid op PHP rust.

Het fundamentele probleem is hier niet de programmeertaal zelf, maar de fundering waarop alles rust. U kunt de mooiste website ter wereld hebben, met de beste user experience en een perfecte conversieratio, maar als de onderliggende software een gat heeft, is dat irrelevant. Het lek bevindt zich in de kernsoftware van de taal zelf. Dat betekent dat de deur naar uw volledige systeem wagenwijd openstaat voor iedereen die weet hoe hij moet kloppen.

(de ironie ontsnapt me niet: we besteden duizenden euro’s aan design, copywriting en SEO om mensen naar onze site te trekken, maar we vergeten vaak te checken of de motor van de site wel een slot op de deur heeft).

Het verschil tussen een ‘bug’ en een systemisch risico

In de IT-wereld gooien we vaak alles op één hoop onder de noemer ‘beveiligingslek’. Maar er is een cruciaal verschil tussen een foutje in een plugin en een kwetsbaarheid in de taal PHP. Een fout in een plugin is als een slecht slot op een binnenkamer: vervelend, maar beperkt in schade. Een lek in PHP is als een defect in het fundament van het hele gebouw. Het geeft kwaadwillenden de mogelijkheid om toegang te krijgen tot het onderliggende systeem van de website.

Zodra een hacker toegang heeft tot dat systeem, is de website niet langer een digitale brochure, maar een toegangspoort. Ze kunnen gebruikersdata stelen, bestanden aanpassen of de server gebruiken om andere aanvallen te lanceren. Het gaat hier niet om een theoretisch risico, maar om wat computerwetenschapper Jeroen Baert een van de zwaarste beveiligingsproblemen noemt die er bestaan.

Het meest verraderlijke moment is paradoxaal genoeg het moment waarop de oplossing wordt gepubliceerd. Zodra de ontwikkelaars van PHP een beveiligingsupdate vrijgeven, begint er een race tegen de klok. De update vertelt de wereld namelijk precies waar het lek zat. Hackers lezen deze updates, schrijven razendsnel een script om dat specifieke gat aan te vallen, en scannen het internet op zoek naar websites die de update nog niet hebben geïnstalleerd.

De angst voor downtime versus de angst voor dataverlies

Veel KMO’s aarzelen om hun website tijdelijk offline te halen. “Ik verlies omzet,” zeggen ze. “Ik ben onvindbaar voor mijn klanten.” Dat is een begrijpelijke angst. In een digitale economie voelt downtime als een hartaanval voor de bedrijfsvoering.

Maar we moeten de schaal van het risico correct inschatten. Een website die een paar uur offline is, kost u misschien enkele honderden of duizenden euro’s aan gemiste kansen. Een website die gehackt wordt omdat de ‘pleister’ van de ontwikkelaar niet op tijd is geplakt, kan u alles kosten. Denk aan de GDPR-boetes bij het lekken van klantgegevens, de reputatieschade wanneer uw site malware verspreidt naar uw bezoekers, of het totale verlies van uw database.

Niet de downtime is het grootste risico, maar de onwetendheid over wat er op de achtergrond gebeurt. Veel ondernemers vertrouwen blind op hun hostingprovider of een freelance webdesigner. Ze gaan ervan uit dat “alles automatisch wordt bijgewerkt”. In de praktijk is dat vaak een gevaarlijke aanname. Updates van de taal PHP zelf vereisen vaak handmatige interventies op serverniveau; ze gebeuren niet zomaar met één klik in een dashboard.

Hoe u uw digitale fundering kunt controleren

U hoeft geen programmeur te zijn om te begrijpen of uw bedrijf risico loopt. Het gaat erom dat u de juiste vragen stelt aan de mensen die uw IT beheren. Beveiliging is geen product dat u eenmalig koopt, maar een proces van constante waakzaamheid.

Om een startpunt te bieden, raad ik aan om de volgende punten kritisch door te lopen met uw IT-partner:

• Versiebeheer: Op welke exacte versie van PHP draait mijn website? Wordt deze versie nog ondersteund door de officiële ontwikkelaars, of draait de site op een ‘legacy’ versie die geen security-updates meer krijgt?
• Updateprotocol: Wat is de exacte procedure wanneer er een kritieke security-update wordt vrijgegeven? Wordt dit binnen enkele uren gebeurd, of pas bij de volgende maandelijkse check?
• Systeemscheiding: Is mijn website strikt gescheiden van mijn interne bedrijfsnetwerk en klantdatabases, of kan een hacker die de website overneemt direct doorstappen naar mijn boekhouding of CRM?
• Backup-integriteit: Hebben we een backup die werkt? En belangrijker: hebben we onlangs getest of we die backup ook daadwerkelijk kunnen terugzetten in minder dan vier uur?

Hoe wijzelf optreden: door te monitoren in plaats van te wachten.

Toen op 21 oktober 2026 de kritieke lekken CVE-2026-109618 en CVE-2026-109619 (inmiddels bekend als “PHP2shell”) publiek werden, tikte onze monitoring al vóór het breed in het nieuws kwam. Binnen enkele uren na publicatie circuleerden er AI-gegenereerde exploit-scripts die het internet aftastten naar ongepatchte servers.

Onze procedure is beproefd: de melding triggerde een alarm, de patch voor de PHP-runtime werd binnen het uur op alle beheerde servers uitgerold, en een externe vulnerability scan bevestigde daarna dat elk lek effectief gedicht was. Resultaat: geen enkele klant ging offline. Geen downtime, geen datalek, geen paniektelefoontje.

Het technische verschil zit in twee dingen: versiebeheer op serverniveau — wij bepalen wanneer een PHP-update live gaat, niet de hostingprovider — en 24/7 monitoring met automatische alerting. Daardoor hoeven we niet te reageren op het nieuws; we zijn al bezig vóór het nieuws er is.

Van reactief naar proactief

De onrust rondom dit PHP-lek laat zien hoe kwetsbaar de digitale keten van een KMO is. We bouwen prachtige digitale ervaringen op funderingen die we vaak niet begrijpen en waarvan we de controle uitbesteden zonder echte controlemechanismen in te bouwen.

Echte digitale veiligheid begint bij het besef dat uw website geen losstaand eilandje is, maar een onderdeel van uw totale bedrijfsvoering. Het is een toegangspoort. En een toegangspoort die niet op slot zit, nodigt ongevraagd bezoek uit.

Bij Pajotech geloven we niet in paniekvoetbal, maar in methodische rust. We helpen Belgische KMO’s om de controle terug te krijgen over hun infrastructuur, zodat u niet hoeft te bellen in paniek wanneer er een lek wordt gemeld, maar kunt rustig slapen omdat u weet dat uw fundering dicht is. Wilt u weten hoe uw huidige setup scoort op het gebied van operationele veiligheid? We kijken graag samen met u naar de kritieke punten in uw digitale keten.