Is mijn website veilig?

Wat er gebeurde op 21 oktober 2026

In PHP, de programmeertaal waar ruim driekwart van alle websites op draait, werden twee ernstige lekken ontdekt. Via die lekken kon een aanvaller zonder in te loggen eigen code uitvoeren op een server. De lekken kregen een ernstscore van 9,2 op een schaal van 10, en de details lekten uit voordat de oplossing beschikbaar was.

Het gevolg was zichtbaar in heel Nederland. De websites van de Tweede Kamer, MijnOverheid, DigiD en de NS gingen uit voorzorg offline, net als die van veel mediabedrijven en hostingpartijen. Aan het eind van de middag bracht PHP een update uit die de lekken dicht.

Wat Darvis die dag deed

Wij volgen de meldingen van het PHP-beveiligingsteam. Toen duidelijk werd hoe ernstig deze lekken waren, hebben wij alle servers afgesloten voordat de details openbaar werden en onze klanten daarover geïnformeerd. Zodra de update beschikbaar kwam, is die op elke server geïnstalleerd en gecontroleerd. Dezelfde dag waren alle websites weer online, met een extra beveiligingslaag die aanvallen al tegenhoudt voordat ze de website bereiken.

Dat is geen uitzondering, maar de normale gang van zaken voor een veilige website. Het verschil zit in wie de meldingen leest en wie er kan handelen.

De server is maar de helft

Een update van de server, zoals die van 21 oktober, lost het probleem op in de laag onder uw website. De software van de website zelf valt daar niet onder: het CMS, het thema, de plugins en de koppelingen met andere systemen. Die hebben hun eigen lekken en hun eigen updates, en die worden alleen uitgevoerd als iemand daar verantwoordelijk voor is.

In de praktijk is dat de laag waar het misgaat. Een website die drie jaar geleden is opgeleverd en sindsdien niet is bijgewerkt, draait vandaag op een server die veilig is, met daarop software met lekken die al jaren bekend zijn. Waarom dat bij standaardplatforms met veel plugins sneller speelt dan bij maatwerk, leest u op de pagina waarom geen WordPress.

Drie vragen die elke ondernemer zichzelf mag stellen

1. Weet u welke software uw website gebruikt en wanneer die voor het laatst is bijgewerkt? De meeste ondernemers weten dat niet precies, en dat is begrijpelijk: het is niet hun vakgebied.
2. Wat kost het als uw website een dag niet werkt? Niet alleen in omzet, maar in aanvragen die niet binnenkomen, klanten die bellen en de tijd die nodig is om alles weer op orde te krijgen.
3. Wie belt u op dat moment? Als u daar even over moet nadenken, is dat een antwoord op zich.

Waarom dit nu meer aandacht vraagt dan een paar jaar geleden

De lekken van 21 oktober zijn gevonden met behulp van kunstmatige intelligentie, en binnen enkele uren na het uitlekken waren er werkende aanvallen in omloop. Dat tempo neemt alleen maar toe. Een website die een paar jaar niet is bijgewerkt was vroeger een risico. Tegenwoordig is het een kwestie van tijd.

Wat een websitescan oplevert

In een websitescan kijken wij naar de laag die de hoster niet ziet:

• Software en versies, welk CMS en welke plugins de website gebruikt en hoe ver die achterlopen op de actuele versie.
• Bekende lekken, of er in die versies kwetsbaarheden bekend zijn waar een aanvaller gebruik van kan maken.
• Back-ups, of ze er zijn, hoe oud ze zijn en of ze daadwerkelijk terug te zetten zijn.
• Toegang, hoe de beheeromgeving is beveiligd en wie er allemaal in kan.
• Formulieren en koppelingen, of de onderdelen die gegevens van bezoekers verwerken dat veilig doen.

U ontvangt een kort verslag in begrijpelijke taal: wat goed op orde is, wat aandacht verdient en wat dat voor u betekent. Daarmee kunt u zelf aan de slag, of u laat ons de punten oplossen. Wilt u dit niet meer zelf in de gaten houden, dan leest u op de pagina's over website onderhoud en het onderhoudscontract hoe wij dat volledig uit handen nemen.

Nu u er toch mee bezig bent: wordt uw website gevonden door AI?

Wie zijn website laat bijwerken, heeft de deur toch al open staan. Dat is een goed moment om ook naar iets anders te kijken: steeds meer mensen stellen hun vraag niet aan Google, maar aan ChatGPT, Copilot of Gemini. Die assistenten lezen websites op een andere manier dan een zoekmachine. De meeste websites zijn ingericht voor Google en niet voor AI, en blijven daardoor onzichtbaar in het antwoord dat zo'n assistent geeft.

In de websitescan nemen wij daarom ook mee hoe uw website er voor een AI-assistent uitziet. Wat daarbij komt kijken, en wat het verschil is met gewone vindbaarheid, leest u op de pagina over SEO, SEA en vindbaarheid in AI.