Binadit · 3 november 2026

Het ging jaren goed, tot AI ging zoeken: waarom oude lekken nu een risico zijn voor jouw bedrijf

Het lek in PHP zat er ongeveer 14 jaar in. Een lek in Linux 9 jaar. Al die tijd draaide de software gewoon door en leek alles goed te gaan. Tot AI het zoeken naar fouten veel sneller maakte. Dat verandert een vaste aanname van veel ondernemers: wat lang goed ging, blijft niet vanzelf goed gaan.

OpenBSD, 27 jaar

FFmpeg, 16 jaar

PHP, ongeveer 14 jaar

Linux, Copy Fail, 9 jaar

Linux, CVE-2026-31695, bijna 5 jaar

Oude fouten komen nu boven water

Dit is geen onbekende hobbysoftware. Het gaat om software waarop bedrijven, overheden en een groot deel van het web draaien. Duizenden ontwikkelaars keken ernaar, en toch bleven deze fouten jarenlang liggen.

PHP: 14 jaar niets aan de hand

De lekken die bekend werden als PHP2Shell, CVE-2026-109618 en CVE-2026-109619, zaten al sinds PHP 5.4 uit 2012 in de code. Een beperkte variant werd in 2024 al gevonden, maar toen niet belangrijk gevonden. In augustus 2026 vonden onderzoeksgroepen de fouten met hulp van AI. Daarna ging het snel. Binnen ongeveer een week lagen er werkende aanvallen op WordPress en Drupal klaar in het onderzoek. Op 21 oktober kwamen de updates, en Cloudflare zag binnen 45 minuten tienduizenden aanvalspogingen, later miljoenen. Palo Alto Networks telde 22,6 miljoen mogelijk kwetsbare installaties. In Nederland gingen overheids-, zorg- en nieuwssites tijdelijk offline in afwachting van de patches. Offline gaan betekent niet dat een site was gehackt, het was vaak een voorzorgsmaatregel. Op 22 oktober zei het NCSC nog geen misbruik bij Nederlandse websites te hebben gezien.

Linux: hetzelfde patroon

Copy Fail, CVE-2026-31431, zat sinds 2017 in de Linux-kernel en werd met hulp van AI gevonden. Daarmee kan een gewone gebruiker op het systeem root worden. CVE-2026-31695 zat bijna vijf jaar in de kernel, en daarvoor is nu een werkende exploit gemeld. ZcopyReaper, CVE-2026-43502, bestaat al sinds kernel 4.17. Ook recente fouten vallen sneller op. Fragnesia, CVE-2026-46300, is geen oud lek maar kwam binnen via een eerdere patch. Het staat sinds 28 oktober op de CISA-lijst met actief misbruik. Daar wordt het gekoppeld aan PHP2Shell: eerst via de website naar binnen, daarna volledige controle over de server.

Dit is pas het begin

AI maakt niet alleen onderzoekers sneller, maar ook aanvallers. OpenAI erkent zelf dat dezelfde mogelijkheden aanvallers kunnen helpen om snel aanvalstools te maken. De Britse NCSC waarschuwde in mei al voor een golf aan spoedupdates in alle soorten software, ook open source en SaaS. Niemand weet welke software de volgende is. Wel is duidelijk dat er nog veel oude code ligt die nooit zo grondig is bekeken als nu mogelijk is. Reken dus op meer van dit soort weken.

Wat dit voor jou als ondernemer betekent

Misschien denk je: mijn website draait al tien jaar zonder problemen. Dat zei een groot deel van het web ook over PHP. Een lek kan betekenen dat klantdata op straat ligt, je webshop of applicatie plat gaat, of aanvallers met je server aan de haal gaan. Daarna volgen vragen van klanten, herstelkosten, gemiste omzet en soms een melding aan de toezichthouder. Reputatieschade begint vaak bij één bericht van een klant: wat is er met mijn gegevens gebeurd? Aanvallers hoeven jou niet uit te kiezen. Bij PHP2Shell gingen de pogingen in de miljoenen. Je bent dus geen doelwit omdat je groot bent, maar omdat je online staat.

Je code en je server zijn twee verschillende problemen

Lekken in PHP en Linux los je op de server op. De fouten in je eigen website of applicatie zitten in je code: een formulier dat invoer niet controleert, een pagina zonder autorisatie, een sleutel in de repository. Geen update van een leverancier lost die op. Het maakt daarbij niet uit wie de code schreef. Of die nu tien jaar oud is of vorige week is gemaakt, een aanvaller kijkt alleen of het werkt.

Wat een lek kan kosten

Bij onvoldoende beveiliging kan de Autoriteit Persoonsgegevens een boete opleggen. Onder artikel 83 AVG kan die oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet, als dat hoger is. In december 2025 kreeg de HAN €175.000 boete. Een aanvaller had in 2021 een lek in een webformulier misbruikt. De AP keek daarna naar de beveiliging, zoals te ruime rechten, beperkte logging en slecht beveiligde wachtwoorden.

Je inspanningsplicht onder de AVG en NIS2

De AVG en de Cyberbeveiligingswet vragen geen perfectie. Ze vragen passende maatregelen die bij je risico’s passen. Artikel 32 AVG noemt ook een procedure om maatregelen op gezette tijdstippen te testen, te beoordelen en te evalueren. De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en raakt volgens het NCSC ruim 8.000 organisaties. Artikel 21 noemt onder meer veilige ontwikkeling, respons op kwetsbaarheden en de beveiliging van de toeleveringsketen. Val je er zelf niet onder, dan kan een klant die er wel onder valt alsnog om bewijs vragen. Een codescan of serverscan is geen keurmerk. Wel helpt een rapport aantonen wat je hebt gecontroleerd, wat je hebt gevonden en wat je hebt opgelost. Juist als er toch iets gebeurt, is dat waardevol.

Tijd om actie te ondernemen

1. Controleer welke PHP-, Node.js- en kernelversies echt draaien. 2. Patch en herstart. 3. Vervang software zonder ondersteuning. PHP 8.2 stopt op 31 december 2026. 4. Zoek naar sporen van misbruik. 5. Laat je eigen code controleren, ook de oude delen waar niemand meer naar kijkt. 6. Leg vast wat je hebt gedaan. Gebruik onze gratis zelfcheck als startpunt.

Hoe Binadit helpt

Met Binadit Code Scan controleren we de code van je website of applicatie, tegen een vaste prijs en zonder account. Met de serverscan bekijken we ook patchniveau en configuratie. We gaan zorgvuldig met je code om, tekenen een NDA en elke bevinding wordt door een mens beoordeeld. Bekijk de pakketten.

Bekijk Binadit Code Scan Laat je website scannen Laat je applicatie scannen Bekijk de serverscan Gratis zelfcheck Voorwaarden