Hoe een kleine non-profit een wereldwijde internetmeltdown veroorzaakte: ‘Dit had een heel gewone update moeten zijn’

Honderd woorden telt het bericht maar: ‘Het PHP-beveiligingsteam wil alvast aankondigen dat er een beveiligingsupdate zit aan te komen’, begint de blogpost. Het is reden genoeg voor DigiD, MijnOverheid, de Tweede Kamer, het computersysteem van het hoger onderwijs en verschillende nieuwssites om zichzelf woensdagmiddag uit de lucht te halen. Ook in België, Frankrijk en Finland gaan webpagina’s op zwart, waaronder die van overheden.

De plotselinge meltdown van het internet was niet voor niets: in PHP, een essentiële programmeertaal voor het functioneren van naar schatting 70 procent van het internationale web, waren twee grote kwetsbaarheden ontdekt. Het lek bleek zo groot te zijn dat kwaadwillenden nagenoeg volledige toegang konden verkrijgen tot alle data en onderliggende code van websites. Woensdag verdwenen sites tijdelijk van het net om niet te worden gekaapt door cybercriminelen tijdens het wachten op de nodige update.

Inmiddels is duidelijk dat een grote menselijke fout de aanleiding was voor alle problemen. Het lek was al langer bekend en een oplossing stond al klaar, maar nog geen etmaal voordat de PHP Foundation hierover naar buiten wilde treden, lekten de feiten over de kwetsbaarheden uit. Dat begon met geroezemoes op sociale media, maar er ontstond pas echt paniek toen een van de betrokken bedrijven stomweg het embargo voor de bekendmaking schond.

‘Dit had een hele gewone update moeten zijn’, zegt softwareontwikkelaar Stefan Koopmanschap. Zelf ontwikkelt hij PHP niet, maar hij werkt wel al zo’n dertig jaar met de taal om websites te maken en raamwerken waarmee ook mensen zonder programmeerervaring dat kunnen doen.

‘Foutloos programmeren bestaat niet. In alle software treffen ontwikkelaars en beveiligers weleens beveiligingsproblemen aan’, vertelt hij. ‘Ontdekken onderzoekers een kwetsbaarheid, dan werken ze in stilte aan een oplossing – je wilt kwaadwillenden niet wijzer maken dan nodig.’

Gebrek aan middelen

De PHP Foundation sprak woensdagavond van ‘structureel falen’. Er waren al signalen voor de kwetsbaarheden in 2024, zonder dat het PHP-beveiligingsteam die aanpakte: het team voerde alleen veranderingen uit bij unanieme overeenstemming. Het beleid is aangepast zodat een meerderheid ook volstaat.

Ook noemde de stichting een ‘gebrek aan middelen’ als reden dat het lek niet eerder was gedicht. De PHP Foundation is een non-profitorganisatie afhankelijk van donateurs, en werkte in 2025 met een jaarbudget van 650.000 euro. De stichting gaf vorig jaar naar eigen zeggen zo’n 124.000 euro méér uit dan het ontving, mede door dalende sponsoring.

Het kernteam dat de PHP-code beheert, bestaat uit slechts elf ontwikkelaars, van wie sommigen nog een andere baan hebben. In het afgelopen jaar kregen acht van deze ontwikkelaars in totaal 58.000 euro uitgekeerd. Andere kostenposten zijn onder meer marketing, het uitbetalen van freelancers en operationele kosten.

Open source

Dat PHP een essentieel onderdeel is van het internet, is na het debacle van woensdag wel duidelijk. Maar dat zo’n klein team verantwoordelijk lijkt te zijn voor die kritieke infrastructuur, is voor velen nieuw. Hoe zit dat, en is het wel wenselijk?

PHP is een zogeheten opensourceproject. Dat betekent dat de code van PHP openbaar toegankelijk is. Iedereen kan suggesties doen voor aanpassingen, nieuwe functies of kwetsbaarheden melden. Vaak heeft een opensourceproject een kernteam, in het geval van PHP de elf ontwikkelaars van de stichting, die suggesties bekijken en eventueel doorvoeren.

Het was de Deens-Canadese programmeur Rasmus Lerdorf die PHP in 1994 in het leven riep als tool om een ‘Personal Home Page’ te maken, vandaar de afkorting. De Israëlische ontwikkelaars Zeev Suraski en Andi Gutmans breidden het in 1997 verder uit, en in de jaren daarna begonnen ook anderen eraan bij te dragen. De PHP Foundation zelf werd pas in 2022 opgericht, onder meer om de financiën van het opensourceproject te managen.

Het is te kort door de bocht om het PHP-project af te schilderen als ‘klein’, zegt hoogleraar management Marvin Hanisch van de Zwitserse Universiteit van St. Gallen. ‘Rondom het kernteam staan allerlei ontwikkelaars die bijdragen leveren’, zegt hij. Sommigen doen dat vrijwillig, anderen werken bij een bedrijf dat zelf behoefte heeft aan een specifieke uitbreiding van de software. ‘En bedrijven die gebruikmaken van PHP weten echt wel dat ze zichzelf in de vingers zouden snijden als ze stoppen met doneren.’

PHP-veteraan Koopmanschap schat het aantal ontwikkelaars rondom het kernteam tussen de vijftig en de honderd. Is dat niet alsnog best weinig? Volgens Hanisch, die de opensourcewereld al jaren onderzoekt, is het juist een van de grotere teams.

Zeker vergeleken met andere belangrijke opensourceprojecten: neem de ‘time zone database’, die registreert hoe laat het overal ter wereld is. Miljarden smartphones en computers zijn afhankelijk van deze database om alle tijdsafhankelijke informatie, van agenda-apps tot tv-gidsen, kloppend te houden. Sinds 2005 is deze database in het beheer van één persoon, de Amerikaanse informaticus Paul Eggert. Die wees in 2020 alvast een opvolger aan, ‘voor het geval dat ik niet beschikbaar ben door pensioen of zoiets’, schreef hij in een bericht aan de organisatie.

Zo zijn er meer voorbeelden. Het kernteam van SQLite, een tool voor het raadplegen van databases waar onder meer WhatsApp op leunt, bestaat uit vier mensen. De Zweed Daniel Stenberg begon in 1996 cURL, een tool waarmee verbinding gemaakt kan worden met een andere computer of server: daar werken momenteel zo’n elf mensen aan. Het programma dat JPEG-afbeeldingen opent op Android-telefoons en in webbrowsers Chrome en Edge wordt sinds 2010 beheerd door ene ‘DRC’ – zijn identiteit is onbekend.

Nog een voorbeeld, dichter bij huis. Bram Moolenaar maakte in 1988 Vim, een populair programma waarmee ontwikkelaars sindsdien code schrijven. Toen hij in 2023 onverwacht overleed, moesten programmeurs om hem heen snel opstaan om het gat te vullen dat hij had achterlaten.

Blokkentoren

Het zijn dit soort projecten waarnaar een populaire cartoon van auteur Randall Munroe verwijst: een enorme blokkentoren, aangeduid als ‘alle moderne digitale infrastructuur’, leunt op één klein blokje onderin, ‘een project dat een willekeurige persoon uit Nebraska al sinds 2003 zonder dank bijhoudt’. Toen het Amerikaanse bedrijf Synopsis meer dan duizend commerciële softwarepakketten analyseerde, trof het bij 96 procent daarvan opensourcecode aan – van alle regels code was zo’n 74 procent open source.

Het is makkelijk om PHP te zien als een van de kleine blokjes uit Munroe’s cartoon, met het bijbehorende gevaar dat het hele internet inderdaad voortdurend op het punt staat om om te vallen. Maar met dat beeld is hoogleraar Hanisch het niet eens: ‘Juist omdat het opensourceprojecten zijn, kunnen ze makkelijk worden overgenomen als een beheerder wegvalt’, zegt hij. Dat het internet even wankelde door het PHP-lek, kwam doordat een embargo werd geschonden, niet doordat het een opensourceproject is, benadrukt hij.

Tegelijkertijd is het volgens Hanisch wel ‘absoluut juist’ om te zeggen dat het internet leunt op opensourcesoftware. ‘Het is best verbluffend hoe groot die afhankelijkheid is’, zegt hij. Het belangrijkste voorbeeld hiervan is het opensourcebesturingssysteem Linux.

Particulieren kunnen dit gebruiken als gratis alternatief voor Windows of macOS, het besturingssysteem van Apple, maar daarnaast heeft Linux nagenoeg een monopolie als de onderliggende programmatuur voor servers die het internet dragen: ‘96,3 procent van de miljoen meest bezochte websites gebruikt Linux’, aldus Hanisch. Linux is het grootste opensourceproject ter wereld, met een kernteam van 20 duizend mensen in de afgelopen dertig jaar.

Toch spreekt Hanisch juist niet van een monopolie van open source. Iedereen kan bij de code van Linux, aanpassingen maken of vertakkingen publiceren, legt hij uit. ‘Open source is juist een tegenkracht voor de dominantie van veel bigtechbedrijven’, zegt hij. ‘Opensource-ontwikkelaars zijn bereid aanzienlijke porties van hun vrije tijd te wijden aan het ontwikkelen van vrij toegankelijke alternatieven voor commerciële producten.’

Juiste steun

Een belangrijke vraag die het PHP-incident heeft blootgelegd, is of opensourceprojecten wel ‘structureel en duurzaam’ steun krijgen, stelt Nadine Roijakkers, hoogleraar open innovatie aan de Open Universiteit. ‘Er is inmiddels steeds meer erkenning voor het strategische en maatschappelijke belang van open source, maar de financiering van het onderhoud op de lange termijn blijft een structurele uitdaging.’

Ze verwijst naar het Duitse Sovereign Tech Fund, een publiek financieringsinstrument voor het onderhoud en de beveiliging van kritieke opensource-infrastructuur. ‘In het jaarverslag van de PHP Foundation over 2025 is daarentegen geen directe Nederlandse overheidsbijdrage terug te vinden.’

Wel doet Nederland mee aan het Europese samenwerkingsproject Digital Commons, en is er een Europese pilot aangekondigd naar het model van het Duitse techfonds. Ook springt het bedrijfsleven bij om opensourceprojecten te steunen, maar ‘het is de vraag of de publieke financiering zich verhoudt tot onze maatschappelijke afhankelijkheid van deze software’, aldus Roijakkers.

Luister hieronder naar onze podcast de Volkskrant Elke Dag. Kijk voor al onze podcasts op volkskrant.nl/podcasts.