- Nieuws
- |
- 22 October 2026
Kritieke kwetsbaarheden in PHP: schoolbesturen, controleer of systemen zijn bijgewerkt
Op 21 oktober 2026 zijn twee kritieke kwetsbaarheden in PHP bekendgemaakt. Deze kunnen aanvallers in staat stellen om op afstand schadelijke code uit te voeren. In het ernstigste geval kan dit leiden tot overname van een server.
Door de redactie
Wereldwijd zijn daarom gisteren uit voorzorg veel websites offline gehaald. Ook verschillende websites van Kennisnet, waaronder kennisnet.nl, de website van het Normenkader IBP, Wikiwijs en Onderwijsnetwerk Digitalisering, waren tijdelijk niet bereikbaar. Nadat de beveiligingsupdate was toegepast, zijn de websites op 21 oktober weer online gegaan.
Wat betekent dit voor jouw schoolbestuur?
De kwetsbaarheden zijn relevant voor schoolbesturen die PHP gebruiken op systemen die vanaf het internet bereikbaar zijn. Denk bijvoorbeeld aan servers waarop websites, webapplicaties of andere online diensten draaien.
Het risico hangt onder meer af van de manier waarop PHP binnen de organisatie wordt gebruikt en of de betreffende systemen voldoende zijn bijgewerkt. Voor scholen die hier nog geen actie op hebben ondernomen is het daarom belangrijk om snel inzicht te krijgen in de eigen situatie en passende maatregelen te treffen. of de IT-dienstverlener die verantwoordelijk is voor het beheer van de systemen.
Wat moet je doen?
We adviseren schoolbesturen de volgende stappen te zetten:
- Breng de risico’s in kaart. Laat de ICT-afdeling of IT-dienstverlener vaststellen waar PHP wordt gebruikt en welke systemen vanaf het internet bereikbaar zijn.
- Beoordeel of tijdelijke afscherming nodig is. Bespreek met de ICT-verantwoordelijke of het verantwoord is om betrokken systemen tijdelijk van het internet los te koppelen. Betrek hierbij de mogelijke gevolgen voor onderwijs, bedrijfsvoering en dienstverlening.
- Laat de updates met spoed uitvoeren. Zorg dat de verantwoordelijke ICT-medewerkers of IT-dienstverlener de beschikbare beveiligingsupdates zo snel mogelijk installeren.
- Controleer of de maatregelen werken. Laat na de update controleren of de systemen daadwerkelijk de bijgewerkte software gebruiken en of websites en applicaties goed functioneren voordat deze weer publiek toegankelijk worden gemaakt.
- Leg de afweging en uitvoering vast. Zorg dat bestuur, ICT-verantwoordelijken en eventuele externe IT-dienstverleners afspraken maken over de aanpak, verantwoordelijkheden en opvolging.
Kan een systeem niet tijdelijk van het internet worden losgekoppeld? Laat de beveiligingsupdates dan zo snel mogelijk uitvoeren en controleer direct daarna of deze correct zijn doorgevoerd. Beoordeel samen met de ICT-verantwoordelijke welke aanvullende maatregelen nodig zijn om het risico te beperken.
De keuze om systemen tijdelijk af te schermen, moet worden gemaakt op basis van een interne risicoanalyse door het bestuur en de ICT-verantwoordelijken. Houd daarbij rekening met zowel de mogelijke impact van misbruik als de gevolgen van het tijdelijk offline halen van systemen.
Technische details en updates
De technische informatie over de kwetsbare softwareversies, beschikbare updates en de betrokken kwetsbaarheden is opgenomen in een aparte download bij dit bericht. Deel deze informatie met de ICT-afdeling of de IT-dienstverlener die verantwoordelijk is voor het beheer van de systemen.
School-CERT Sector Alert: Kwetsbaarheden in PHP
pdf | 79.79 KB
Ontvang beveiligingswaarschuwingen als eerste via School-CERT
