Organisaties
Elke organisatie met ongepatchte PHP is blootgesteld. Dit zijn de organisaties die zichtbaar in actie kwamen — vooral storingen uit voorzorg, geen bevestigde inbraken.
Laatst gecontroleerd 2026-10-22
Offline betekent niet gehackt
Geen van de onderstaande organisaties meldde een compromittering. Een dienst offline halen om te patchen is een voorzichtige reactie op een kritieke bug, en een goed teken. Alleen gecontroleerde vermeldingen met bron staan erbij; laatst gecontroleerd 2026-10-22.
Haalde app.bamboohr.com en www.bamboohr.com op 21 okt om 11:51 UTC uit voorzorg offline (datacenters in de VS, Canada en Ierland) en waarschuwde dat de salarisverwerking onderbroken zou worden. Fix toegepast om 15:03 UTC; om 16:01 UTC liep de validatie nog. Geen inbraak gemeld.
Bron: BambooHR status page
Op 21 okt uit voorzorg offline gehaald. Volgens Logius bleef inloggen met DigiD bij andere organisaties werken. Het NCSC zag geen misbruik. Dit verklaart waarom Nederland de zoekinteresse aanvoert.
Bron: NOS
WAF-regels voor alle abonnementen live om 03:02 UTC op 21 okt; meldt vroege aanvallen en payloads die worden aangepast.
Bron: Cloudflare blog
Publiceerde gepatchte PHP-images om 07:41 UTC op 21 okt, vóór de gecoördineerde release.
Bron: PHP Foundation
Geen slachtoffer van PHP2Shell. Een apart incident in dezelfde nieuwscyclus: acht zwakke private keys van tussenliggende CA’s van eMudhra werden achterhaald en op 20 okt bekendgemaakt. Mozilla verspreidde OneCRL-intrekkingen; werk browsers, trust stores (bijv. certifi 2026.10.19) en Go (1.27.3 / 1.26.10) bij.
Bron: Trilogy AI