Uit onderzoek van het Eindhovense cybersecuritybedrijf MindYourPass onder bijna 500.000 webapplicaties blijkt dat 47% van de aantoonbaar op PHP draaiende applicaties nog een verouderde, niet langer ondersteunde of door de kwetsbaarheden getroffen versie gebruikt. De bevindingen laten zien dat het verhelpen van de kritieke PHP-kwetsbaarheden van 21 oktober nog lang niet is afgerond.

Op 21 oktober 2026 verschenen beveiligingsupdates voor twee kritieke kwetsbaarheden in PHP, waarmee aanvallers onder bepaalde omstandigheden op afstand kwaadaardige code kunnen uitvoeren zonder in te loggen. Europese cybersecurityautoriteiten riepen organisaties op om kwetsbare systemen direct bij te werken.

Bijna helft nog op verouderde of getroffen versie

MindYourPass onderzocht 494.416 unieke webapplicaties die medewerkers daadwerkelijk gebruiken voor hun dagelijkse werkzaamheden. Bij 188.577 applicaties zijn aanwijzingen voor PHP-gebruik gevonden. Bij 60.362 kon dit met zekerheid worden vastgesteld. Van deze laatste groep draaien 28.615 applicaties (47%) op een verouderde, niet langer ondersteunde of getroffen PHP-versie.

Het onderzoek omvat toepassingen die worden gebruikt binnen onder meer gemeenten, zorg, onderwijs, financiële dienstverlening en het mkb. Daaronder bevinden zich ook applicaties voor belangrijke werkprocessen, zoals.

De onderzoeksresultaten werden op 23 oktober ook door NRC gepubliceerd. De bevindingen sluiten aan bij internationale metingen die laten zien dat het bijwerken van PHP-systemen wereldwijd nog volop gaande is.

Veiligheid begint bij weten wat er wordt gebruikt

Het onderzoek legt een bredere uitdaging bloot: veel organisaties hebben geen volledig en actueel overzicht van de webapplicaties die hun medewerkers daadwerkelijk gebruiken. Vooral externe toepassingen, die buiten het directe beheer van de IT-afdeling vallen, blijven gemakkelijk buiten beeld. Zonder dat inzicht is het lastig vast te stellen welke applicaties mogelijk kwetsbaar zijn en waar actie nodig is.

Merijn de Jonge, CEO van MindYourPass:

"Bij kwetsbaarheden als deze moeten organisaties vaak eerst hun applicatieoverzicht actualiseren en vervolgens bij leveranciers navragen welke systemen risico lopen. Dat is tijdrovend en kostbaar. Ondertussen kunnen applicaties over het hoofd worden gezien en noodzakelijke updates vertraging oplopen.

Door continu te meten welke applicaties daadwerkelijk worden gebruikt en wat hun zichtbare beveiligingsstatus is, kunnen we sneller risico's signaleren en gericht in actie komen. Met dit onderzoek willen we die inzichten niet alleen voor onze klanten beschikbaar maken, maar ook breder delen.

We verwachten onze klanten de komende dagen al meer gedetailleerde informatie te kunnen bieden, zodat zij gericht actie kunnen ondernemen."

MindYourPass blijft de komende weken de onderzochte applicaties monitoren en zal de voortgang van beveiligingsupdates periodiek publiceren. Daarmee wordt zichtbaar hoe snel de situatie verbetert en waar mogelijke risico's blijven bestaan.

Onderzoeks-verantwoording

Het onderzoek is gebaseerd op geanonimiseerde webadressen van applicaties waarop medewerkers van MindYourPass-klanten inloggen, continu en privacyvriendelijk geïnventariseerd door de MindYourPass Agent. Na uitsluiting van dubbele paden, IP-hosts en uitsluitend via HTTP bereikbare adressen zijn 494.416 unieke webadressen onderzocht op PHP-gebruik en zichtbare versie-informatie. De kwetsbaarheden zijn niet actief getest. Omdat niet alle technische informatie extern zichtbaar is, bewijzen de resultaten niet dat individuele applicaties daadwerkelijk kwetsbaar zijn. De onderzochte toepassingen vormen geen representatieve steekproef van alle Nederlandse webapplicaties.