Nieuws · beveiliging
Waarom Daylit en de klanten van Daylit online blijven tijdens PHP2Shell
Op 21 oktober 2026 meldde PHP twee kritieke lekken, samen PHP2Shell genoemd (CVE-2026-109618 en CVE-2026-109619). Wie ze misbruikt, kan op afstand code uitvoeren op een server die PHP draait. Omdat de fix pas om 16:00 Nederlandse tijd verschijnt, hebben onder meer Security.NL, RTL en de Tweede Kamer hun sites uit voorzorg offline gehaald.
Daylit blijft online, en de sites van onze klanten ook. Hieronder leggen we uit waarom dat verantwoord is, en wat we al gedaan hebben.
Wie gingen offline, en wie niet
Volgens de NOS en NU.nl waren vanmiddag onder meer onbereikbaar:
- Overheid: DigiD, MijnOverheid, de Tweede Kamer, de ACM en de Unie van Waterschappen.
- Media en telecom: RTL.nl en de RTL-app, en de sites van Simpel, Ben en Youfone.
- Zorg: onder meer Maastricht UMC+, het Jeroen Bosch Ziekenhuis, Bravis, het Albert Schweitzer Ziekenhuis, Haaglanden MC, het St. Antonius en het Elisabeth-TweeSteden Ziekenhuis.
- Hosting: MijnDomein haalde preventief alle sites die het host offline, volgens berichten honderdduizenden.
- Verder: de KNVB en meerdere voetbalclubs, en de vluchtgegevens in de Schiphol-app.
Het NCSC zag op dat moment nog geen misbruik, maar gaat ervan uit dat elk systeem met PHP dat vanaf internet bereikbaar is, kwetsbaar is tot de update erop staat. Offline gaan is dan de veilige keuze voor wie niet precies weet welke PHP-versies er draaien of de update niet snel kan uitrollen.
Wie wel online bleef, gebruikt geen PHP voor de site zelf, of weet precies wat er draait en kan direct bijwerken. Dat laatste is waar Daylit voor gebouwd is.
Waarom wij online blijven
Elke site draait op een PHP-versie die de fix krijgt. Al onze sites gebruiken PHP 8.2, 8.3 of 8.4. Dat zijn versies die PHP nog onderhoudt. Wie nog op 8.1 of ouder draait, krijgt geen fix en heeft echt een probleem.
De bekende aanvalsroute is al dicht. Om 14:03 hebben we op alle sites twee PHP-instellingen aangepast die volgens de onderzoekers de aanval moeilijker maken (session.upload_progress uit, sessies alleen via cookies). Dat ging zonder herstart: geen enkele site was even weg.
De fix gaat er automatisch op. Elk half uur kijkt Daylit of er nieuwe PHP-pakketten zijn. Zodra ze er zijn, worden ze geïnstalleerd en herstart PHP. Dat gebeurt per server één site tegelijk, zonder dat je site offline gaat.
We kijken mee. Begint PHP ergens een programma dat daar niet hoort, zoals een shell of een downloadprogramma, dan krijgen wij direct een melding. Dat is het teken van een inbraak via dit soort lekken.
Een lek blijft binnen één site. Bij Daylit heeft elke site een eigen server. Die mag niet bij andere sites of bij ons interne netwerk. Elke nacht vergelijken we de code van WordPress-sites met de officiële versie, en er zijn dagelijkse back-ups.
Wat moet je zelf doen?
Niets. Je site blijft bereikbaar en Daylit installeert de fix zodra die er is. Zelf PHP bijwerken kan en hoeft niet.
Offline gaan is niet gratis: een webshop verliest bestellingen en klanten vinden je niet. Wij kiezen voor maatregelen die je site beschermen terwijl hij blijft draaien. Zien we tekenen van een echte aanval, dan grijpen we in en laten we het je direct weten.
We werken dit bericht bij zodra alle sites de fix hebben.