Met dit bericht informeren we je over twee kritieke beveiligingskwetsbaarheden in PHP, een technologie die wereldwijd gebruikt wordt voor websites en webtoepassingen.
Deze kwetsbaarheden, bekend als PHP2Shell, kunnen mogelijk ook een risico vormen voor websites van scholen en schoolbesturen.
Wij vragen je om deze melding vandaag nog door te sturen naar jullie ICT-coördinator, websitebeheerder en/of externe IT-partner, zodat je de nodige beveiligingsmaatregelen onmiddellijk kan nemen.
Op 20 oktober 2026 werden twee bijzonder ernstige kwetsbaarheden in PHP bekendgemaakt (CVE-2026-109618 en CVE-2026-109619).
PHP wordt onder meer gebruikt door websites die gebouwd zijn met WordPress, Drupal en Joomla.
De kwetsbaarheden kunnen kwaadwilligen mogelijk toelaten om vanop afstand schadelijke code uit te voeren op kwetsbare webservers. Hierdoor bestaat het risico dat websites worden overgenomen, gegevens worden geraadpleegd of gestolen, of schadelijke software wordt verspreid.
De ernst van deze kwetsbaarheden wordt beoordeeld met een score van 9,2 op 10.
Verschillende organisaties hebben hun websites of digitale diensten uit voorzorg tijdelijk offline gehaald. Dit betekent niet noodzakelijk dat deze systemen daadwerkelijk gehackt zijn, maar het is de bedoeling mogelijke aanvallen te voorkomen.
De ontwikkelaars van PHP hebben aangekondigd op woensdag 21 oktober 2026 om 16 uur (Belgische tijd) beveiligingsupdates beschikbaar te stellen.
Wij vragen om zo snel mogelijk volgende acties te laten uitvoeren:
1. Laat controleren of de website van je onderwijsinstelling kwetsbaar is.
Neem contact op met de ICT-coördinator, websitebeheerder of externe hostingpartner en laat nagaan of de website van je onderwijsinstelling en eventuele andere webtoepassingen gebruikmaken van PHP en welke versies geïnstalleerd zijn.
Wanneer de website volledig beheerd wordt door een externe leverancier, is het belangrijk om bij die leverancier expliciet na te vragen of de kwetsbaarheid werd onderzocht en de nodige beveiligingsupdates zijn of worden uitgevoerd.
Vraag ook een bevestiging zodra de website gecontroleerd is en waar nodig beveiligd is.
2. Laat de nodige beveiligingsupdates met absolute prioriteit installeren.
Zodra de officiële beveiligingsupdates beschikbaar zijn, moeten deze zo snel mogelijk worden geïnstalleerd door de verantwoordelijke ICT-dienst of hostingpartner.
Belangrijk: een gewone update van WordPress of een andere webtoepassing volstaat niet. De beveiligingsupdate moet op het niveau van PHP zelf worden uitgevoerd.
3.Overweeg om kwetsbare websites tijdelijk offline te halen.
Wanneer een website kwetsbaar blijkt en niet onmiddellijk beveiligd kan worden, adviseren de bevoegde cybersecurityinstanties om deze tijdelijk offline te halen of af te schermen van het internet totdat de nodige beveiligingsupdates zijn uitgevoerd.
Dit geldt in het bijzonder voor websites die gebruikmaken van oudere, niet langer ondersteunde PHP-versies.
Laat deze beslissing in overleg met de technisch verantwoordelijke nemen.
4. Laat controleren of er aanwijzingen zijn van misbruik.
Vraag aan de technische verantwoordelijke om eventuele verdachte activiteiten op de webserver na te gaan.
Wanneer er aanwijzingen zijn dat onbevoegden toegang hebben gekregen tot persoonsgegevens, vragen wij om onmiddellijk de gebruikelijke procedure voor het melden van een mogelijk datalek te volgen en de DPO te betrekken.
5. Communiceer eventueel met ouders over het offline halen van je website.
We geven je hieronder een voorbeeldboodschap mee die je kan gebruiken in je communicatie:
Onze website is tijdelijk niet bereikbaar
We hebben onze website uit voorzorg offline gehaald. Er zijn ernstige beveiligingslekken ontdekt in PHP, de software waarop deze website draait. Zodra de website weer veilig is, zetten we ze opnieuw online.
Wat is er aan de hand?
PHP is software waarmee veel websites hun pagina's maken. Ook onze website gebruikt PHP. In PHP zijn twee ernstige beveiligingslekken gevonden. Via die lekken kunnen aanvallers mogelijk een website overnemen of er schadelijke inhoud op zetten. De makers van PHP brengen een oplossing uit. Wereldwijd halen organisaties hun websites daarom tijdelijk offline, tot die oplossing geïnstalleerd en getest is. Dat doen wij ook.
Wij benadrukken dat niet elke website van een onderwijsinstelling noodzakelijk kwetsbaar is. Toch is het, gezien de ernst van deze beveiligingsproblemen, belangrijk dat elke onderwijsinstelling haar digitale omgeving preventief laat controleren.
Vanuit onze verantwoordelijkheid voor gegevensbescherming willen wij mee helpen voorkomen dat websites of persoonsgegevens van leerlingen, ouders en personeelsleden in gevaar komen.
Onze belangrijkste oproep: onderneem vandaag nog actie en zorg ervoor dat de juiste technische verantwoordelijken deze melding ontvangen.
Meer informatie:Alvast bedankt om deze melding met de nodige urgentie op te volgen.
De websites van Katholiek Onderwijs Vlaanderen maken geen gebruik van PHP en blijven dus bereikbaar. Bij vragen kan je ook terecht op het e-mailadres gegevensbeheer@katholiekonderwijs.vlaanderen.
