Update 28 oktober: daling van 47% naar 36%

MindYourPass heeft de 188.577 applicaties waarbij eerder aanwijzingen voor PHP-gebruik werden gevonden opnieuw onderzocht. Bij 58.622 applicaties kon PHP met zekerheid worden bevestigd, tegenover 60.362 bij de eerste meting.

De daling van het aantal bevestigde PHP-applicaties hangt onder meer samen met netwerkfouten tijdens de scan, onbereikbare applicaties en systemen waarbij PHP niet langer extern herkenbaar was.

Het aandeel applicaties met een zichtbaar verouderde of getroffen PHP-versie is gedaald van 47% naar 36%. Dat wijst op voortgang bij het bijwerken van systemen, al kan op basis van deze metingen niet exact worden vastgesteld hoeveel individuele applicaties daadwerkelijk zijn gepatcht.

MindYourPass heeft klanten inmiddels ook organisatiespecifieke rapportages beschikbaar gesteld, met inzicht in de PHP-status van de applicaties die binnen hun organisatie worden gebruikt. Hiermee kunnen zij bepalen welke applicaties mogelijk nader onderzoek vereisen en bij welke leveranciers opvolging nodig is.

Oorspronkelijk onderzoek – 23 oktober 2026

[Hieronder volgt de oorspronkelijke tekst en onderzoeksverantwoording.]
‍

Op 21 oktober 2026 verschenen beveiligingsupdates voor twee kritieke kwetsbaarheden in PHP, waarmee aanvallers onder bepaalde omstandigheden op afstand kwaadaardige code kunnen uitvoeren zonder in te loggen. Europese cybersecurityautoriteiten riepen organisaties op om kwetsbare systemen direct bij te werken.

Bijna helft nog op verouderde of getroffen versie

MindYourPass onderzocht 494.416 unieke webapplicaties die medewerkers daadwerkelijk gebruiken voor hun dagelijkse werkzaamheden. Bij 188.577 applicaties zijn aanwijzingen voor PHP-gebruik gevonden. Bij 60.362 kon dit met zekerheid worden vastgesteld. Van deze laatste groep draaien 28.615 applicaties (47%) op een verouderde, niet langer ondersteunde of getroffen PHP-versie.

Het onderzoek omvat toepassingen die worden gebruikt binnen onder meer gemeenten, zorg, onderwijs, financiële dienstverlening en het mkb. Daaronder bevinden zich ook applicaties voor belangrijke werkprocessen.

De onderzoeksresultaten werden op 23 oktober ook door NRC gepubliceerd. De bevindingen sluiten aan bij internationale metingen die laten zien dat het bijwerken van PHP-systemen wereldwijd nog volop gaande is.

Veiligheid begint bij weten wat er wordt gebruikt

Het onderzoek legt een bredere uitdaging bloot: veel organisaties hebben geen volledig en actueel overzicht van de webapplicaties die hun medewerkers daadwerkelijk gebruiken. Vooral externe toepassingen, die buiten het directe beheer van de IT-afdeling vallen, blijven gemakkelijk buiten beeld. Zonder dat inzicht is het lastig vast te stellen welke applicaties mogelijk kwetsbaar zijn en waar actie nodig is.

Merijn de Jonge, CEO van MindYourPass:

"Bij kwetsbaarheden als deze moeten organisaties vaak eerst hun applicatieoverzicht actualiseren en vervolgens bij leveranciers navragen welke systemen risico lopen. Dat is tijdrovend en kostbaar. Ondertussen kunnen applicaties over het hoofd worden gezien en noodzakelijke updates vertraging oplopen.

Door continu te meten welke applicaties daadwerkelijk worden gebruikt en wat hun zichtbare beveiligingsstatus is, kunnen we sneller risico's signaleren en gericht in actie komen. Met dit onderzoek willen we die inzichten niet alleen voor onze klanten beschikbaar maken, maar ook breder delen.

We verwachten onze klanten de komende dagen al meer gedetailleerde informatie te kunnen bieden, zodat zij gericht actie kunnen ondernemen."

MindYourPass blijft de komende weken de onderzochte applicaties monitoren en zal de voortgang van beveiligingsupdates periodiek publiceren. Daarmee wordt zichtbaar hoe snel de situatie verbetert en waar mogelijke risico's blijven bestaan.

Onderzoeks-verantwoording

Het onderzoek is gebaseerd op geanonimiseerde webadressen van applicaties waarop medewerkers van MindYourPass-klanten inloggen, continu en privacyvriendelijk geïnventariseerd door de MindYourPass Agent. Na uitsluiting van dubbele paden, IP-hosts en uitsluitend via HTTP bereikbare adressen zijn 494.416 unieke webadressen onderzocht op PHP-gebruik en zichtbare versie-informatie. De kwetsbaarheden zijn niet actief getest. Omdat niet alle technische informatie extern zichtbaar is, bewijzen de resultaten niet dat individuele applicaties daadwerkelijk kwetsbaar zijn. De onderzochte toepassingen vormen geen representatieve steekproef van alle Nederlandse webapplicaties.