PHP-lek van oktober 2026: heb je een cyberverzekering nodig?

PHP is de programmeertaal waarop ongeveer 70 procent van alle websites draait, waaronder elke WordPress-site. Op 20 oktober kondigde het PHP-team twee kritieke lekken aan (CVE-2026-109618 en CVE-2026-109619), allebei met een ernstscore van 9,2 op 10. Via deze lekken kon iemand zonder in te loggen eigen code uitvoeren op de server van een website. Daarmee kan een aanvaller bij bestanden, klantgegevens en databases.

Op 21 oktober kwamen de updates uit. Of jouw website veilig is, hangt ervan af of die update is doorgevoerd. Dat is een vraag voor je websitebeheerder. In deze blog kijken we naar de verzekeringskant: wie betaalt de schade als het toch misgaat?

Het lek was zo ernstig dat organisaties hun websites uit voorzorg offline haalden, onder meer de Tweede Kamer, het RIVM en het Nationaal Cyber Security Centrum (NCSC) zelf. Het NCSC zag op 21 oktober nog geen actief misbruik in Nederland, maar wel meer verkeer van mensen die naar kwetsbare websites zochten.

Op 23 oktober meldde het NCSC dat het de eerste signalen van misbruik onderzoekt. Die signalen kwamen uit het buitenland. Bij Nederlandse websites was op dat moment nog geen misbruik gezien.

Hackers zoeken niet naar bekende namen, ze zoeken naar kwetsbare servers. Een kleine webshop of een installatiebedrijf met een offerteformulier is voor hun scansoftware net zo interessant als een groot bedrijf. Gaat het mis, dan kan dat dit betekenen:

• Je website ligt plat en klanten kunnen je niet vinden of niets bestellen.
• Gegevens van klanten worden gestolen. Dat is een datalek.
• Criminelen versleutelen je bestanden en vragen losgeld.
• Je website stuurt bezoekers door naar een valse betaalpagina of verspreidt malware.

Daar komen kosten bij: een IT-specialist die het lek vindt en dicht, herstel van je website en gegevens, juridische hulp en omzet die je misloopt. Lekken er persoonsgegevens, dan moet je dat binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

• Kijk of je een cyberverzekering hebt. Veel ondernemers weten niet precies wat er in hun pakket zit.
• Lees wat je polis zegt over beveiliging. Verzekeraars stellen vaak eisen aan updates en onderhoud van je software.
• Bewaar bewijs dat de update is gedaan. Vraag je websitebeheerder om een bevestiging per mail. Bij een schade kan je verzekeraar daarnaar vragen.
• Check de afspraken met je websitebeheerder of hostingpartij. Staat er iets in over aansprakelijkheid als het misgaat?
• Meld een incident direct. Merk je iets vreemds, neem dan meteen contact op met je verzekeraar of adviseur. Veel cyberverzekeringen hebben een hulplijn die je direct kunt bellen.

De technische kant laat je over aan je websitebeheerder. Wij kijken naar wat er gebeurt als het toch misgaat, en wie dan de rekening betaalt.

Onze eigen website wordt beheerd door Webmyday, het internetbureau uit Dordrecht. Toen het PHP-lek bekend werd, namen zij direct de nodige maatregelen en voerden ze de nieuwe updates door.

Webmyday weet als websitebeheerder goed hoe groot de gevolgen van een hack kunnen zijn. Daarom heeft Habro voor Webmyday ook de cyberverzekering geregeld. Zo zorgt de partij die onze website veilig houdt er ook voor dat haar eigen bedrijf goed is verzekerd.

Veel ondernemers gaan ervan uit dat hun aansprakelijkheidsverzekering (AVB) of hun hostingpartij dit opvangt. Een AVB is bedoeld voor schade aan personen en spullen van anderen. Schade door een hack valt daar vaak niet of maar beperkt onder, en je eigen herstelkosten en omzetverlies al helemaal niet. Een hostingpartij beperkt haar aansprakelijkheid bovendien vaak in de algemene voorwaarden.

Een cyberverzekering beschermt je bedrijf tegen de gevolgen van cybercriminaliteit, zoals hacking, gegevensdiefstal en systeeminbraak. Wat precies gedekt is, verschilt per verzekeraar. Vaak gaat het om:

• hulp van IT- en forensische specialisten direct na een incident;
• herstel van je systemen, website en gegevens;
• omzetverlies als je bedrijf stilligt;
• de afhandeling van een datalek, zoals melden en klanten informeren;
• claims van klanten of anderen na een datalek;
• hulp bij afpersing, zoals ransomware.

Steeds meer verzekeraars koppelen de dekking aan goed onderhoud van je software. Bij sommige polissen is schade door een bekend lek dat je niet op tijd hebt gedicht beperkt of uitgesloten. Een cyberverzekering vervangt dus geen updates. Kijk daarom niet alleen of je verzekerd bent, maar ook wat je verzekeraar van je verwacht.

Niet elk bedrijf loopt hetzelfde risico. Een cyberverzekering is het overwegen waard als je:

• gegevens van klanten of personeel bewaart, zoals adressen, betaalgegevens of medische gegevens;
• een webshop, online boekingssysteem of klantportaal hebt;
• niet kunt werken zonder computer, mail of planningssoftware;
• je website belangrijk is voor het binnenhalen van klanten of opdrachten;
• werkt voor opdrachtgevers die eisen stellen aan informatiebeveiliging.

Ben je nauwelijks afhankelijk van internet en bewaar je geen gegevens van anderen, dan kan het risico klein genoeg zijn om zelf te dragen. Dat zoeken we in de risicoanalyse samen uit.

De premie hangt af van je omzet, je branche, hoeveel gegevens je bewaart en welke beveiligingsmaatregelen je hebt. Een vast bedrag is daarom niet te noemen. Verzekeraars vragen bij de aanvraag vaak naar updates, back-ups en tweestapsverificatie. Heb je dat op orde, dan sta je sterker bij het afsluiten.

Als onafhankelijk verzekeringsadviseur in Dordrecht kijken we eerst naar de risico’s van jouw bedrijf. In de risicoanalyse brengen we in kaart wat een hack of datalek voor jou betekent. Daarna bepalen we samen welke risico’s je wilt voorkomen, beperken, zelf dragen of verzekeren.

Kies je voor een cyberverzekering, dan verkennen we de markt en lopen we de voorwaarden met je door, ook die over updates en beveiliging. Heb je al een cyberverzekering? Dan kijken we of de dekking nog past bij hoe je nu werkt.

Wil je weten of je bedrijf goed verzekerd is tegen een hack? Vraag de gratis quickscan aan, plan een adviesgesprek of bel Stefan op 078 203 20 33. Een berichtje via WhatsApp mag ook: 06 24 24 77 51.

Betaalt mijn cyberverzekering als de update niet op tijd is gedaan?

Dat hangt af van de voorwaarden van je polis. Sommige verzekeraars beperken de uitkering of sluiten schade uit als een bekend lek niet op tijd is gedicht. Andere geven je een termijn om updates door te voeren. Laat je voorwaarden nakijken, zodat je weet waar je aan toe bent.

Is mijn websitebeheerder aansprakelijk als mijn website wordt gehackt?

Dat hangt af van je contract. Websitebeheerders en hostingpartijen beperken hun aansprakelijkheid vaak in hun algemene voorwaarden. De schade voor jouw bedrijf, zoals omzetverlies en de kosten van een datalek, blijft dan grotendeels bij jou. Jij blijft ook verantwoordelijk voor de gegevens van je klanten.

Dekt mijn bedrijfsaansprakelijkheidsverzekering een hack?

Meestal niet of maar beperkt. Een AVB dekt schade die je anderen toebrengt aan personen of spullen. Je eigen kosten na een hack, zoals herstel, onderzoek en omzetverlies, vallen er niet onder. Daarvoor is een cyberverzekering bedoeld. Twijfel je wat jouw polis dekt, laat hem dan nakijken.

Moet ik een datalek melden?

Lekken er persoonsgegevens en levert dat risico op voor de mensen om wie het gaat, dan meld je het binnen 72 uur bij de Autoriteit Persoonsgegevens. Is het risico hoog, dan informeer je ook die mensen zelf. Veel cyberverzekeringen bieden hulp bij deze melding.