Na PHP-lek blijkt: bijna een derde van mkb-websites draait op verouderde software

Bureau Imago heeft op 21 en 22 oktober de websites van 1.280 Nederlandse mkb-bedrijven in twaalf branches bekeken. Bij 30,5% vond het bureau minstens één verouderd onderdeel: PHP zonder updates, een WordPress-versie die WordPress.org als onveilig aanmerkt, een plugin die minstens een versie achterloopt, of een plugin die om veiligheidsredenen is verwijderd. Het bureau noemt dat een ondergrens, omdat alleen werd gekeken naar wat de homepage prijsgeeft.

Achterlopen

Ruim de helft (57%) van de onderzochte sites draait op WordPress. Bij 44% daarvan loopt minstens één plugin achter. 15% van de WordPress-sites die hun versie tonen, gebruikt een versie die WordPress.org als onveilig beschouwt. Van alle mkb-sites draait 8% zichtbaar op een PHP-versie zonder updates; van de sites die hun PHP-versie tonen, is dat ruim een kwart.

Advocaten scoren het slechtst

Advocatenkantoren (36%), dakdekkers (35%), hoveniers en tandartspraktijken (beide 34%) komen er het slechtst uit; restaurants (21%) het best. De foutmarge per branche ligt volgens het bureau op ongeveer 8 procentpunt, waardoor de meeste verschillen tussen branches klein zijn.

Verouderde software betekent overigens niet automatisch dat een site te hacken is, benadrukt Bureau Imago. Het bureau, dat zelf een dienst aanbiedt om WordPress-sites opnieuw te bouwen zonder PHP, wijst erop dat op 31 december ook de ondersteuning voor PHP 8.2 stopt.

NCSC: eerste signalen van misbruik

Vorige week werd bekend dat er lekken zitten in PHP, waarna allerlei organisaties hun websites als voorzorg uit de lucht haalden. Het gaat om de lekken CVE-2026-109618 en CVE-2026-109619, waarmee aanvallers op afstand code kunnen uitvoeren. Op dezelfde dag verschenen patches. Het NCSC adviseert te upgraden naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Voor versie 7.4, 8.0 en 8.1, die niet meer worden ondersteund, stelde het PHP-team minimale broncodepatches beschikbaar.

NCSC is ook gaan uitzoekenof de kwetsbaarheid daadwerkelijk is misbruikt. In een update van 23 oktober meldt het centrum een mogelijke exploit in het buitenland, maar het is niet bevestigd dat die aanval is gelukt. De kans op grootschalig misbruik is volgens het NCSC kleiner dan eerder ingeschat. Op 23 oktober maakte de PHP Foundation bovendien een nieuwe kwetsbaarheid bekend, CVE-2026-115560, die in de volgende reguliere bugfix-release wordt verholpen. Advies blijft om updates zo snel mogelijk te installeren.