PHP-beveiligingslek legt websites stil. Waarom bleef WeSeeDo beschikbaar?

Je wilt inloggen bij DigiD of MijnOverheid en ineens is de website niet bereikbaar. Niet vanwege een gewone storing, maar omdat er ernstige beveiligingslekken zijn ontdekt.

Op woensdag 21 oktober 2026 gebeurde precies dat. Wereldwijd werden websites uit voorzorg offline gehaald vanwege twee ernstige beveiligingslekken in PHP, een programmeertaal die op grote schaal wordt gebruikt. In Nederland waren onder andere DigiD en MijnOverheid tijdelijk niet bereikbaar.

Het laat zien hoe afhankelijk onze digitale dienstverlening is van de technologie erachter. En het roept een belangrijke vraag op: hoe veilig zijn de digitale diensten waarop we dagelijks vertrouwen?

Wat was er aan de hand met PHP?

PHP is een programmeertaal waarmee veel websites en online toepassingen worden gebouwd. Je ziet er als gebruiker meestal niets van, maar achter de schermen zorgt PHP ervoor dat websites allerlei taken kunnen uitvoeren

Volgens onderzoeksbureau W3Techs gebruikt ongeveer 70% van de websites waarvan de gebruikte serverprogrammeertaal bekend is PHP.

Op 21 oktober werden twee ernstige kwetsbaarheden in PHP bekend. Via deze beveiligingslekken zouden kwaadwillenden toegang kunnen krijgen tot systemen en mogelijk ook tot vertrouwelijke gegevens.

De risico's waren zo groot dat het Nationaal Cyber Security Centrum (NCSC) adviseerde passende voorzorgsmaatregelen te nemen. Onder andere DigiD, MijnOverheid en verschillende andere organisaties haalden websites tijdelijk offline.

Dat betekent overigens niet dat deze websites daadwerkelijk gehackt waren. Veel organisaties kozen er juist voor hun systemen uit voorzorg uit te schakelen, totdat beveiligingsupdates beschikbaar waren.

Inmiddels zijn die updates uitgebracht.

Had het PHP-beveiligingslek gevolgen voor WeSeeDo?

Onze eigen beeldbelsoftware maakt geen gebruik van PHP. Daardoor werd het WeSeeDo-platform niet rechtstreeks geraakt door deze specifieke kwetsbaarheden en hoefden we onze beeldbelsoftware niet offline te halen. Maar dat betekent niet dat software zonder PHP automatisch veilig is.

Iedere programmeertaal en ieder softwaresysteem kent risico's. Het gaat erom welke keuzes je maakt bij het ontwikkelen van software, hoe je deze beveiligt en hoe je ervoor zorgt dat de beveiliging op orde blijft.

Wat zegt dit over veilig videobellen?

Een beveiligingslek zoals dit laat zien dat veiligheid nooit vanzelfsprekend is. En dat geldt voor iedere softwareleverancier.

Ook een veelgebruikte programmeertaal als PHP is niet per definitie onveilig. Het gaat erom hoe software wordt gebouwd, onderhouden, beveiligd en bijgewerkt.

Voor organisaties die werken met vertrouwelijke gesprekken is dat extra belangrijk. Denk aan een psycholoog die met een cliënt spreekt, een arts die medische informatie bespreekt of een gemeente die contact heeft met een inwoner.

Je wilt erop kunnen vertrouwen dat die gesprekken goed beschermd zijn. Zonder dat medewerkers of cliënten zich voortdurend met de techniek bezig hoeven te houden.

Daarom is WeSeeDo vanaf het begin ontwikkeld met privacy en veiligheid als uitgangspunt. Dit noemen we privacy by design.

Dat zie je onder andere terug in de manier waarop we gesprekken beschermen:

• Gesprekken zijn end-to-end versleuteld: alleen de deelnemers hebben toegang tot het gesprek.
• Unieke gesprekslinks: geen voorspelbare nummering van gespreksruimtes.
• Geen opslag van gespreksinhoud: gesprekken worden niet opgeslagen, geanalyseerd of gebruikt voor AI-toepassingen
• Onze servers staan in Nederland, zonder afhankelijkheid van Amerikaanse cloudinfrastructuur.
• Onze informatiebeveiliging wordt onafhankelijk getoetst volgens ISO 27001, NEN 7510 en ISAE 3000 Type II.
• Ook voeren we structureel beveiligingstesten uit om mogelijke kwetsbaarheden op te sporen.
  
  

Veiligheid gaat ook over controle over je data

Voor organisaties in de zorg en publieke sector is er nog iets belangrijks: digitale soevereiniteit.

Dat betekent dat je als organisatie grip wilt houden op je gegevens. Waar worden ze verwerkt? Wie heeft er toegang toe? En van welke technologie en leveranciers ben je afhankelijk?

Bij WeSeeDo staan de servers in Nederland en maken we geen gebruik van Amerikaanse cloudproviders. Ook heeft WeSeeDo geen toegang tot de inhoud van gesprekken.

Zo blijft de vertrouwelijkheid van gesprekken beschermd en houden organisaties grip op hun digitale communicatie.

Veiligheid gaat verder dan je eigen software

De gebeurtenissen van 21 oktober maken nog iets duidelijk: goede beveiliging stopt niet bij de software die je zelf ontwikkelt.

Je moet ook weten van welke externe diensten je afhankelijk bent, hoe die partijen met beveiliging omgaan en wat er gebeurt als een onderdeel tijdelijk niet beschikbaar is.

Het is een belangrijk onderdeel van digitale weerbaarheid.

Voor WeSeeDo betekent dat dat we kritisch blijven kijken naar de veiligheid van onze eigen techniek én de partijen waarmee we samenwerken. Want veiligheid is niet iets wat je eenmalig regelt. Het vraagt voortdurend aandacht.

En juist bij vertrouwelijke gesprekken wil je niet iedere keer hoeven nadenken over de vraag of de techniek wel veilig genoeg is.

Benieuwd hoe WeSeeDo privacy en veiligheid beschermt?

Op onze pagina veiligheid en privacy lees je meer over hoe wij videogesprekken beschermen, welke beveiligingsmaatregelen we nemen en hoe onze werkwijze onafhankelijk wordt getoetst.