Woensdag 21 oktober 2026 werd het nieuws bekend gemaakt dat er een beveiligingslek zou zijn in PHP.

Wat is PHP?
PHP is een programmeertaal die voornamelijk op de server wordt uitgevoerd. Dankzij PHP kunnen webpagina’s en webformulieren dynamisch worden afgehandeld. Stel dat je op een website een bezoeker wilt begroeten. Met HTML alleen kunnen wij alleen vaste tekst tonen. Met PHP kunnen wij de tekst laten afhangen van gegevens of omstandigheden. Als voorbeeld: bij het invullen van een webformulier kunnen we automatisch een e-mail opstellen die is gepersonaliseerd. De e-mail bevat dan bijvoorbeeld de naam die de bezoeker in het formulier heeft ingevuld. Ook kunnen we met PHP dynamische teksten en templates tonen. Kortom volop programmeermogelijkheden.

Wat was er aan de hand?
PHP is dus een techniek waar de meeste websites op draaien. Deze week werd bekend dat er een mogelijkheid was om opdrachten uit te voeren zonder wachtwoord te hoeven ingeven, zonder te hoeven inloggen.

Er zijn op dit moment geen aanwijzingen dat dit bij onze klanten is gebeurd. Direct nadat het lek op woensdag 21 oktober bekend werd, zijn er tijdelijke beschermingsmaatregelen genomen zoals:

• Een beheerde beveiligingsregel geactiveerd in de Cloudflare Enterprise-firewall (WAF)* die in de hosting omgeving aanwezig is zodat mogelijke pogingen om deze kwetsbaarheid te misbruiken direct werden geblokkeerd.
• Tijdelijk zijn er extra monitoring en blokkeringsmechanismen toegevoegd aan de webservers om verdachte activiteiten te detecteren en een halt toe te roepen.

* Wat is Cloudflare?
Cloudflare optimaliseert en beveiligt het internetverkeer van en naar de website. Website hosting via Clarify Consult bestaat uit een professionele omgeving en maakt o.a. gebruik van Cloudflare t.b.v. Content Delivery en van een Web Application Firewall (WAF). Dankzij deze WAF toevoeging zijn websites gehost via Clarify Consult beschermt tegen aanvallen zoals SQL-injecties, bots en schadelijke scripts.

PHP bracht woensdagmiddag rond 16:00 uur een oplossing uit. De websites die via Clarify Consult zijn gehost draaien op de meest recente versie PHP 8.4 en zijn inmiddels voorzien van de door PHP uitgebrachte beveiligingsupdate.