Kritiek PHP-lek raakt veel webwinkels, Thuiswinkel.org haalt sites offline
Webwinkeliers die draaien op WordPress met WooCommerce, op Magento, Shopware of PrestaShop kregen deze week onverwacht huiswerk. Het Nationaal Cyber Security Centrum (NCSC) waarschuwde op 21 oktober voor twee kritieke kwetsbaarheden in de programmeertaal PHP, de technische basis onder een groot deel van de Nederlandse webwinkelsoftware. De twee lekken, geregistreerd als CVE-2026-109618 en CVE-2026-109619, kregen van het NCSC een ernstscore van 9,2 op een schaal tot 10. Volgens de waarschuwing zijn alle PHP-versies vanaf versie 5 kwetsbaar, wat betekent dat vrijwel geen enkele webwinkel zomaar buiten schot blijft.
Branchevereniging grijpt zelf ook in
Brancheorganisatie Thuiswinkel.org nam het zekere voor het onzekere en haalde uit voorzorg het grootste deel van haar eigen websites offline, inclusief de Waarborg Widget die leden op hun site tonen. Tegelijkertijd informeerde de vereniging haar leden actief over de kwetsbaarheden. Opvallend is dat Thuiswinkel.org daarbij niet wachtte tot er concreet misbruik was vastgesteld. Een dag later, op 22 oktober, meldde het NCSC dat het de eerste signalen van mogelijk misbruik aan het onderzoeken was. Later die week kwamen de meeste getroffen sites, waaronder die van Thuiswinkel.org zelf, geleidelijk weer online nadat geen directe aanwijzingen voor actieve aanvallen waren gevonden. Cyberexperts waarschuwen wel dat de gevolgen van zo’n lek, ook na een patch, nog maanden kunnen doorsudderen, bijvoorbeeld doordat kwaadwillenden in de tussentijd al toegang hebben verkregen.
Wat het voor jouw webwinkel betekent
Veel webwinkeliers denken bij beveiliging al snel aan hun winkelplatform: de WooCommerce- of Magento-versie, de plugins, misschien nog het thema. PHP zelf wordt vaak vergeten, terwijl het letterlijk de motor onder die software is. Een kwetsbaarheid daarin raakt dus niet alleen grote spelers met een eigen ontwikkelteam, maar net zo goed de eenmanszaak die jaren geleden een webshop liet bouwen en er sindsdien weinig naar omkeek. Thuiswinkel.org wees haar leden er daarom op dat het niet genoeg is om alleen het hoofdsysteem te controleren. Ook losse installaties, testomgevingen en oudere subdomeinen draaien vaak op dezelfde kwetsbare PHP-versie en verdienen evenveel aandacht.
Drie stappen om nu te zetten
Het advies van Thuiswinkel.org aan haar leden is in de kern simpel, ook al vraagt het wat uitzoekwerk. Neem eerst contact op met je hostingpartij, technisch beheerder of softwareleverancier en vraag expliciet of jouw omgeving met deze twee CVE’s te maken heeft. Installeer vervolgens de beveiligingsupdate zodra die beschikbaar is, ook op plekken die je misschien over het hoofd ziet, zoals een oude testversie van de webshop. Lukt patchen niet op korte termijn, dan is het verstandig die specifieke omgeving tijdelijk offline te halen in plaats van het risico te nemen. Dat voelt als een drastische stap voor een webwinkelier die net de voorraad voor de decembermaanden op orde heeft, maar een paar uur downtime weegt niet op tegen een datalek met klantgegevens of betaalinformatie. Wie twijfelt of de eigen webshop wordt geraakt, doet er goed aan dit gewoon na te vragen bij de partij die de techniek beheert, in plaats van te gokken dat het wel meevalt.