Stel je een bevrachtingsbureau in Rotterdam voor. Iemand ververst een klantportaal en de pagina blijft leeg. Een recap staat half af. De tegenpartij wacht op een cijfer dat in een systeem staat dat het bureau niet zelf beheert.
Die middag viel de voorstelling samen met het nieuws. NU.nl meldde dat de website van het Havenbedrijf Rotterdam tijdelijk onbereikbaar was. Een woordvoerder zei tegen het ANP dat er geen operationele impact was op de dienstverlening of de havenprocessen. Het havenbedrijf bracht in kaart waar PHP werd gebruikt, en schakelde via FERM Zeehavens, de organisatie voor cybersecurity in de Nederlandse zeehavens.
Een schip kan intussen langszij liggen. Het ladingplan verdwijnt niet van de brug omdat een publieke website uit staat.
Wat er op 21 oktober echt is gepubliceerd
PHP is een programmeertaal voor websites en webapplicaties. Ze doet het stille werk achter logins, formulieren en klantportalen. Op 21 oktober 2026 publiceerde het PHP-project reparaties voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Op een server die webverzoeken nog afhandelt met een geraakte versie, kan elk van die fouten iemand zonder login code laten uitvoeren. PHP waardeert beide met 9,2 op CVSS v4.0. De gerepareerde versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Bijwerken is de veilige keuze. PHP zegt dat er geen volledig alternatief is. PHP 8.1 en ouder ontvangen geen fixes meer van het PHP-project zelf, al leveren sommige leveranciers van besturingssystemen nog wel hun eigen aanpassingen. Een oudere installatie hangt dan van die leverancier af, of van een overstap naar een ondersteunde versie.
Wiz Research zegt dat AI-gereedschap hielp fouten te vinden die al meer dan tien jaar in de code zaten. NU.nl gaf een verdere bewering van Wiz weer: één onderzoeker rondde in ongeveer een week werk af waar een sterk team eerder maanden voor nodig had. Dat tempo is het relaas van Wiz, geen onafhankelijke meting. NU.nl meldde ook dat details eerder circuleerden dan gepland, en dat organisaties sites offline haalden terwijl ze bijwerkten. PHP had op 20 oktober gezegd dat de release van 21 oktober eerder kon komen als details openbaar werden. Het Nederlandse NCSC noemde het, in de weergave van NU.nl, een weeffout in de taal en geen aanval die al bezig was.
Een website en een schip zijn verschillende systemen
Het advies van PHP gaat over installaties die webverzoeken afhandelen: portalen, publicatiesystemen en andere serverapplicaties. Dat is de laag waarin een haven haar publieke site een middag kan uitzetten terwijl de kade doorgaat.
In wat er is gepubliceerd, zitten deze fouten niet in de besturing van een schip, een kraan of een sluis. Machinebesturing, dynamic positioning en vergelijkbare operationele technologie worden als een andere klasse systeem gebouwd en bijgehouden. De adviezen beschrijven een risico voor websoftware. Ze beschrijven geen risico voor het schip.
De sector heeft al namen voor dat onderscheid. Informatietechnologie is de software van kantoren, dossiers en portalen. Operationele technologie is de apparatuur die staal, lading en water beweegt. Ze zijn dichter bij elkaar gekomen: een planningsscherm naast een machine, een dashboard dat een sensor uitleest. Ons artikel over de haven als software volgt dat in Rotterdam. Deze week liet toch de grens zien. Een website ging uit, en van de havenprocessen werd gemeld dat ze niet waren geraakt.
Waar maritiem werk echt van gewone software afhangt
Voor een rederij, een bevrachter, een makelaar of een haven zit het risico dat de moeite van het benoemen waard is zelden op de brug. Het zit in de administratieve laag rond het werk.
Software voor scheepsbeheer bewaart certificaten, crew changes en de specificatie die als geldig geldt. Een bevrachting loopt via een portaal, een inbox, een recap en een spreadsheet. De operationele database van een makelaar is soms het enige dossier van welk schip is aangeboden, en tegen welke voorwaarden. Een havenwebsite is de zichtbare rand van planningstools en leverancierslogins.
PHP is één afhankelijkheid naast andere. Wiz zegt dat PHP achter ongeveer 70 procent van de websites zit. Dat cijfer is van hen. Een bevrachter die drie Noordzeeschepen vergelijkt, zit al in het patroon: kraangegevens in drie pdf's, een vergelijking in een sheet, bevestiging in een portaal dat de bevrachter niet beheert. Gaat dat portaal dicht voor een update, dan zijn de cijfers niet fout. Ze zijn onbereikbaar, en mensen plakken ze in de mail. Die terugval naar handwerk beschreven we in Wanneer wordt een maritieme spreadsheet beter als software?.
Sneller ontdekken helpt, en het verkort de tijd
Er zit een echte winst in. Fouten die jaren hadden standgehouden, zijn gevonden en gerepareerd, met AI als deel van het werk. Een softwareleverancier, of de firma die een bevrachtingsportaal host, kan dat tempo gebruiken op de bibliotheken die ze echt meelevert. Code kan een decennium liggen en in een dag urgent worden.
Hetzelfde tempo is beschikbaar voor wie zoekt naar systemen die nog niet zijn bijgewerkt. Een openbare reparatie beschrijft ook de opening, en PHP zegt dat bijwerken die opening sluit. Een grote host kan dat binnen een uur doen. Een product voor scheepsbeheer op een oude versie, bij een leverancier zonder upgradepad, misschien niet. De dienst uitzetten betekent telefoon, mail en de laatste spreadsheet die iemand vertrouwt. De dienst aan laten betekent met de opening leven. Voor een database met scheepscertificaten, of het scherm dat bevestigt dat een schip is gefixt, is die keuze de operatie.
Vragen die de moeite waard zijn vóór de volgende keer
Een nuttige review begint bij de workflow. De nummers van deze week zijn alleen de aanleiding.
- Welke systemen zouden een bevrachting, een crew change, een havenbezoek of een factuur stoppen als ze een dag offline waren?
- Welke daarvan zijn webapplicaties, en welke zitten dichter op de apparatuur?
- Wie mag ze bijwerken, en hoe snel is dat eerder gebeurd?
- Welke versies vallen al buiten het ondersteuningsvenster van de maker?
- Waar leven dezelfde operationele gegevens nog meer, zodat een portaalstoring niet de enige kopie uitwist?
Een lijnoperatie en een makelaarskantoor van twee mensen zullen anders antwoorden. Ze delen geen securityafdeling. Ze kunnen wel de gewoonte delen om systemen bij naam te kennen. Kleinere firma's kunnen dat vaak niet, omdat de software login voor login is binnengekomen.
Leveranciers krijgen dezelfde vragen van de andere kant. De Vessel Comparison Tool op deze site is een demonstratie met fictieve scheepsgegevens. Het is een klein bevrachtingsscherm, geen klantsysteem en geen beveiligingsproduct. De stapel onder zo'n scherm is makkelijk te vergeten, en iemand moet haar nog steeds bijwerken. Dat geldt ook voor de maritieme software die we bouwen.
Bronnen
Onderzoekssnelheid en het aandeel websites op PHP zijn beweringen van Wiz. De uitspraak van het Havenbedrijf Rotterdam is de weergave van NU.nl van opmerkingen aan het ANP. Waar het liveblog en het leveranciersbericht het tijdstip anders beschrijven, staan beide hier.
- PHP-beveiligingsadvies, 21 oktober 2026, met het bericht van 20 oktober op dezelfde pagina
- CVE-2026-109618
- CVE-2026-109619
- Wiz Research, 21 oktober 2026
- NU.nl, 21 oktober 2026
De pagina viel uit. Het schip niet.
De volgende fout van dit soort kan in een weekend opduiken, na een decennium stil te hebben gelegen. Het bedrijf dat er goed voor staat, is het bedrijf dat zonder vergadering kan zeggen welke schermen zouden stoppen, welke apparatuur niet, en welke leverancier het verschil hoort bij te werken.
Een schip en een website kunnen een haven delen. De software ertussen is waar een maritiem bedrijf zijn week doorbrengt, en waar nieuws als dit het eerst aankomt.