Twee ernstige kwetsbaarheden in ICT-systemen: wat er aan de hand is en wat u kunt doen

Gisteravond zijn twee ernstige kwetsbaarheden bekend geworden die wereldwijd veel ICT-systemen raken. De eerste zit in de WebPKI: het stelsel van certificaten waarmee systemen kunnen controleren of een website of online dienst echt is wie hij zegt te zijn. Bij certificaatverstrekker eMudhra zijn de sleutels van acht zogeheten tussencertificaten onjuist aangemaakt, waardoor kwaadwillenden ze kunnen achterhalen. Met zo'n sleutel kan een aanvaller zich voordoen als vrijwel elke website of dienst. Grote browsers zoals Chrome, Firefox, Safari en Edge blokkeren deze certificaten inmiddels, maar veel andere systemen, zoals servers, koppelingen tussen applicaties en software, moeten nog worden bijgewerkt. Het incident heeft geen gevolgen voor eIDAS-certificaten of PKIoverheid.

De tweede kwetsbaarheid zit in PHP, een programmeertaal waarop veel webapplicaties draaien. Het gaat om twee kritieke lekken waarmee een aanvaller op afstand en zonder in te loggen kwaadaardige code kan uitvoeren. Vrijwel alle PHP-versies zijn mogelijk kwetsbaar. Een beveiligingsupdate wordt vandaag rond 16.00 uur Nederlandse tijd verwacht. Uit voorzorg hebben veel organisaties hun websites en online diensten tijdelijk offline gehaald, waaronder de Tweede Kamer, de Autoriteit Persoonsgegevens en het NCSC.

Een kwetsbare digitale wereld

Incidenten als deze staan niet op zichzelf. Onze digitale wereld is complex en sterk met elkaar verweven: één fout bij één partij kan binnen enkele uren gevolgen hebben voor organisaties over de hele wereld. Tegelijkertijd worden aanvallers steeds sneller in het misbruiken van zulke kwetsbaarheden. Dat vraagt om waakzaamheid, snel handelen en goede samenwerking tussen alle partijen in de keten.

Wat Cleverbase heeft gedaan

Cleverbase is nadat het nieuws bekend werd, direct in de actie geschoten. We hebben onze ICT-systemen bijgewerkt zodat de getroffen certificaten van eMudhra niet langer worden vertrouwd. Daardoor lopen onze diensten voor identificatie, inloggen en ondertekenen geen verhoogd risico.

Voor de kwetsbaarheid in PHP hebben we ook onze eigen systemen nagelopen. Eén systeem, met beperkte impact op onze dienstverlening, draait op PHP. Dat systeem hebben we uit voorzorg uitgezet totdat de beveiligingsupdate is geïnstalleerd. Daarnaast onderzoeken we de impact op de systemen bij onze leveranciers, en nemen we waar nodig maatregelen.

Wat betekent dit voor uw organisatie?

Wij raden iedereen aan om ook de eigen ICT-systemen na te lopen. Werk browsers en besturingssystemen bij naar de nieuwste versie, en laat uw IT-beheerder of leverancier controleren of servers en software al een bijgewerkte lijst met vertrouwde certificaten gebruiken.

Gebruikt uw organisatie applicaties die op PHP draaien? Installeer dan de update zodra die beschikbaar is. Kunt u niet direct updaten, overweeg dan sterk om deze applicaties tijdelijk van het internet af te halen totdat dat wel kan. Het Nationaal Cyber Security Centrum (NCSC) roept organisaties dringend op zich voor te bereiden op de nood-update voor PHP, zodat die direct geïnstalleerd kan worden zodra hij beschikbaar is. Volgens het NCSC is er nog geen actief misbruik van de kwetsbaarheden gesignaleerd. Uit voorzorg heeft het NCSC zijn eigen website tijdelijk offline gehaald. Voor meer informatie: https://cert.europa.eu/publications/security-advisories/2026-018/

Samen veilig online

Wij houden iedereen graag veilig online, en dat doen we samen. Heeft u als gebruiker of klant aanvullende vragen over het beveiligen van identificatie, inloggen of ondertekenen binnen uw organisatie? Neem dan contact met ons op via https://cleverbase.com/nl/contact/.

Wij houden de situatie nauwlettend in de gaten. Zodra er nieuwe ontwikkelingen zijn, delen we die via deze pagina.

Laatst bijgewerkt: woensdag 21 oktober 2026, 14:15