PHP-update is uit, maar Ripstar en twaalf kitescholen zijn nog offline

PHP heeft woensdagmiddag de update uitgebracht voor de twee kritieke lekken, maar veel kitesites zijn nog niet terug. Kitereisorganisaties Ripstar en De Kitesurfbus en kitescholen als Beach Break, NorthWest Kiteboarding en KiteFEEL tonen nog een onderhoudsmelding en zeggen zelf dat ze uit voorzorg offline zijn. Surfcenter en Surfschool Veerse Dam zijn inmiddels weer bereikbaar. Het Europese cyberteam CERT-EU adviseert organisaties direct bij te werken of hun site af te schermen tot dat gebeurd is. Hanglos valt niet in de risicogroep en blijft gewoon bereikbaar, net als de pagina's van alle kiteshops, kitescholen en kitereisorganisaties op Hanglos.

De lekken, CVE-2026-109618 en CVE-2026-109619, gaan rond onder de naam PHP2Shell. Volgens CERT-EU kan een aanvaller er op afstand en zonder in te loggen eigen code mee uitvoeren op een server. PHP bracht de reparatie woensdagmiddag uit, nog voor het geplande tijdstip van 16.00 uur, in de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP 8.1 en ouder krijgen van het PHP-project geen updates meer. Er is geen datalek gemeld: de sites die offline zijn, gingen preventief uit de lucht.

Het Nationaal Cyber Security Centrum noemde de kwestie op een persconferentie "geen aanval, maar een weeffout" in de programmeertaal. Het NCSC waarschuwt dat sites na de update niet altijd meteen terug zijn. Hoe lang het duurt, hangt af van de versie die een site gebruikt. Ook sluit het NCSC niet uit dat er later nog een update volgt, als de eerste niet alle problemen oplost.

Welke kitesites zijn nog offline?

Hanglos bekeek woensdag na de update opnieuw de startpagina van 125 kitesites: de grote internationale kitemerken, Nederlandse kite- en surfshops en de kiteshops, kitescholen en kitereisorganisaties op Hanglos. Acht sites waren offline en negen toonden een onderhoudsmelding, de andere 108 waren bereikbaar. De grote kitemerken, van Duotone, North en Cabrinha tot Core, F-One en Eleveight, zijn allemaal gewoon bereikbaar, net als grote Nederlandse kiteshops als Kitemana, Kitesurfshop Haarlem en Versus.

Bij Ripstar en Beach Break staat dat de website "uit voorzorg" tijdelijk offline is gehaald. NorthWest Kiteboarding in Makkum noemt het offline halen "een bewuste keuze" en De Kitesurfbus voert volgens de eigen melding beveiligingsupdates uit. KiteFEEL schrijft dat de site tijdelijk offline is "vanwege extra veiligheidscontroles" en verwacht snel weer online te zijn. Bij Mifune Watersports staat dat de site naar verwachting later vandaag terugkomt. Bij de sites die offline zijn zonder melding, weten we niet waarom ze onbereikbaar zijn.

In Nederland: Tweakers weer terug

De kitewereld staat daarin niet alleen. Woensdag gingen onder meer Tweakers, Luchtvaartnieuws.nl, RTL Nieuws, de ANWB, de Schiphol-app, een dienst van persbureau ANP en NotuBiz offline, het systeem waarmee ruim honderd gemeenten, provincies en waterschappen hun raadsinformatie publiceren. Tweakers is inmiddels weer bereikbaar. De website van de ANWB toonde bij onze controle om 16.52 uur nog de melding dat de site tijdelijk niet bereikbaar is. Airwork, het platform voor piloten, houdt bij welke grote sites offline gingen en wat CERT-EU precies adviseert.

Buitenland

Ook buiten Nederland gingen sites uit de lucht. In Finland haalde Valtori, het ICT-centrum van de overheid, uit voorzorg overheidswebsites offline, meldde de Finse omroep Yle. In Vlaanderen gingen volgens VRT NWS de websites van de Vlaamse overheid offline, net als het schoolplatform Smartschool, spoorbeheerder Infrabel en de VDAB. Volgens NU.nl gingen ook in Japan en Frankrijk websites offline. Cyberagentschappen in Europa, Australië, Japan en het Verenigd Koninkrijk riepen op meteen bij te werken, of sites offline te halen tot dat gebeurd is, meldde Reuters.

Kun je nog bestellen en is je data veilig?

Bij een shop of school die offline is, kun je tijdelijk niet online bestellen of boeken. Wie gear zoekt, vergelijkt in de Pricewatch de prijzen bij shops die wel bereikbaar zijn, en de pagina's van kiteshops, kitescholen en kitereizen op Hanglos blijven gewoon open. Een datalek is niet gemeld. De sites die offline zijn, gingen preventief uit de lucht, juist om de gegevens van klanten te beschermen.

Oplichters gebruiken zulk nieuws graag. Let de komende dagen extra op:

• Een mail of sms dat je "je account opnieuw moet bevestigen" of "je betaalgegevens moet bijwerken" na een storing of beveiligingsupdate. Een shop vraagt dat niet per mail.
• Links naar een inlogpagina op een afwijkend adres. Typ het adres van de shop zelf in je browser in plaats van op de link te klikken.
• Haast en dreiging, zoals "je bestelling wordt geannuleerd" of "je boeking vervalt vandaag". Twijfel je, bel de shop of school dan op het nummer dat je zelf opzoekt.

Voor aanbieders: dit doe je nu

Heb je een kiteshop, kiteschool of kitereisorganisatie met een eigen website? De update is er, dus dit zijn de stappen.

1. Vraag je webbouwer of hostingpartij of de server is bijgewerkt naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. De automatische updates van WordPress doen dit niet, want het gaat om de software van de server zelf.
2. Draait je site op PHP 8.1 of ouder, laat hem dan overzetten naar een versie die nog wordt ondersteund. Die oude versies krijgen van het PHP-project geen updates meer.
3. Werk daarna je CMS en alle plugins bij naar de nieuwste versie.
4. Scherm je site zolang af, bijvoorbeeld met een onderhoudspagina, tot je webbouwer bevestigt dat de update erop staat. Houd er rekening mee dat er later nog een update kan volgen.

Je pagina op Hanglos blijft in de tussentijd bereikbaar, dus kitesurfers vinden je daar gewoon.