Het PHP-lek van 21 oktober: waarom de sites van Omelette du Fromage gewoon online bleven

Op 21 oktober werd een groot beveiligingslek in PHP bekend. PHP is de programmeertaal waar zo’n 70% van alle websites op draait. Via het lek konden hackers een website overnemen, zonder in te loggen. DigiD, MijnOverheid en RTL Nieuws haalden hun sites daarom uit voorzorg offline. Onze sites bleven gewoon online. Ze draaien niet op PHP, maar op JAMstack met Hugo.

Wat er precies gebeurde

Het ging om twee lekken tegelijk. Allebei kregen ze een score van 9.2 op een schaal van 10. Alles boven de 9 geldt als kritiek, de zwaarste categorie die er is.

Het lek was al uitgelekt voordat er een oplossing was. Het NCSC, het Nationaal Cyber Security Centrum, waarschuwde iedereen met een PHP-site. Veel organisaties kozen ervoor hun site even offline te halen. Liever een paar uur onbereikbaar dan gehackt.

Rond half vier ’s middags kwam de update die het lek dichtte. Wie die update snel installeerde, zat weer veilig. Wie dat niet deed, liep vanaf dat moment juist meer risico. Inmiddels lag namelijk ook online hoe je het lek kon misbruiken.

Dit gaat vaker gebeuren

Volgens experts zijn deze lekken gevonden met hulp van AI. Ze verwachten dat er daardoor vaker nieuwe lekken boven water komen, en sneller achter elkaar. Ook wordt het voor hackers makkelijker om ze te misbruiken.

Voor een merk dat adverteert is dat slecht nieuws. Staat je site offline, dan komen er geen aanvragen of verkopen binnen. Je advertenties lopen ondertussen wel gewoon door. Je betaalt dan voor bezoekers die op een pagina komen die er niet is.

Zo bouwen wij websites

Bij Omelette du Fromage bouwen we websites op JAMstack: snel, veilig, duurzaam en makkelijk bij te werken. Design, code, hosting en AI-integratie zitten in één traject.

Vooraf gebouwd, dus geen PHP

Een PHP-website maakt een pagina pas op het moment dat iemand hem opent. Op de server draait dan een programma dat de pagina in elkaar zet. Dat programma staat dus altijd aan, en het reageert op alles wat van buitenaf binnenkomt. Via dit lek konden hackers juist daar binnenkomen.

Wij bouwen op JAMstack. Daarbij worden alle pagina’s van tevoren gemaakt en klaargezet. Een bezoeker krijgt de pagina die al klaarstaat. Op de server hoeft niets meer te gebeuren.

Die pagina’s maken we met Hugo. Hugo is een programma dat je hele website in één keer omzet in kant-en-klare pagina’s. Het gebruikt geen PHP. Een lek in PHP raakt onze sites dus niet. Geen enkele website die wij bouwden had er last van. Op 21 oktober hoefden we dan ook niets te doen.

Veilig, snel en duurzaam

Er is geen database om te hacken, en het aanvalsoppervlak is een stuk kleiner. Veiligheid zit bij ons in de bouw, en wordt er niet achteraf op geplakt.

Omdat de pagina’s statisch worden gegenereerd, laadt je site ook sneller. Dat is goed voor je bezoekers, voor Google en voor de AI-modellen die je content lezen.

En je site heeft geen constante updates nodig. Dat is precies waar het bij veel PHP-sites op 21 oktober misging.

Zelf je site aanpassen

Een statische site klinkt misschien alsof je er zelf niets meer aan kunt veranderen. Dat klopt niet. Wij bouwen op CloudCannon, een visueel CMS bovenop je statische site. Daarin pas je je content aan zonder code aan te raken.

Het kan ook met Dex, onze eigen AI-integratie. Je vertelt wat je wilt veranderen en ziet de wijziging eerst in een live preview. Ben je tevreden, dan publiceer je.

Ook na livegang

Wil je dat wij het onderhoud doen? Dat regelen we in een SLA. Wij hosten je site en houden hem in de gaten. Als er iets aandacht vraagt, krijgen wij een signaal voordat jij het merkt. Heb je een vraag, een bug of een kleine aanpassing, dan heb je snel een developer te pakken die je site kent.

Twee keer per jaar lopen we snelheid, veiligheid en de SEO-basis na. Je hoort dan wat we hebben opgelost en wat we aanraden.

Een paar sites die we bouwden

Benieuwd hoe dat eruitziet? Bekijk de websites die we bouwden voor Se7en, Addmoore, House of Ride en Piece of Magic.

WordPress is niet per se slecht

Een WordPress-site die goed onderhouden wordt en snel de update kreeg, was ook prima af. Het gaat vooral mis bij sites waar niemand naar omkijkt. Draait jouw site op WordPress en ben je er tevreden over? Zorg dan vooral dat iemand hem bijhoudt.

Heb je een website op PHP? Dit kun je doen

• Vraag je hostingpartij of webbouwer of de PHP-update al is geïnstalleerd.
• Draait je site op PHP 8.1 of ouder? Vraag dan hoe ze je beschermen. Voor die versies komt geen standaard update.
• Kan de update er niet snel op? Haal je site dan liever even offline.
• Zorg dat je weet welke software er onder je site draait. Dan weet je de volgende keer meteen of je risico loopt.

Weet je niet zeker hoe je site ervoor staat? Of wil je weten wat een overstap naar een site van ons inhoudt? Stuur ons gewoon een berichtje. We kijken met je mee.

Veelgestelde vragen

Is mijn WordPress-site kwetsbaar voor het PHP-lek?

WordPress draait op PHP, dus je site was kwetsbaar tot de PHP-update op de server is geïnstalleerd. Een WordPress-update lost dit niet op, het gaat om de software op de server. Vraag je hostingpartij of de update erop staat.

Waarom gingen DigiD en andere sites offline?

Toen het lek bekend werd, was er nog geen oplossing. Veel organisaties haalden hun site daarom uit voorzorg offline, zodat hackers er niet bij konden. Na de update kwamen de sites weer online.

Wat is een JAMstack-website met Hugo?

Een JAMstack-website wordt vooraf helemaal klaargemaakt, zodat er op de server niets meer gebouwd hoeft te worden als iemand een pagina opent. Hugo is het programma dat die kant-en-klare pagina’s maakt. Hugo gebruikt geen PHP, dus lekken in PHP raken een Hugo-site niet.

Draaien de websites van Omelette du Fromage op PHP?

Nee. Omelette du Fromage bouwt websites op JAMstack met Hugo, zonder PHP en zonder database. Geen enkele website van Omelette du Fromage had last van het PHP-lek van 21 oktober 2026.

Kan ik een JAMstack-website zelf aanpassen?

Ja. Wij bouwen op CloudCannon, een visueel CMS waarin je content aanpast zonder code aan te raken. Of je gebruikt Dex, onze eigen AI-integratie: je vertelt wat je wilt veranderen, ziet een live preview en publiceert als je tevreden bent.