Goksites bleven online tijdens PHP-lek, maar Cruks lag plat

Emma Bakker · 2026-10-21

Woensdag ging het goed mis in internetland. DigiD, MijnOverheid en zelfs de website van de Tweede Kamer werden uit de lucht gehaald vanwege twee ernstige kwetsbaarheden in PHP. Dat is een programmeertaal die ontzettend veel websites gebruiken. Best spannend dus. Al snel werd duidelijk dat er een beveiligingsupdate gepland stond voor woensdag 21 oktober om 16:00 uur Nederlandse tijd. Ongeveer 45 minuten daarna kwamen de eerste sites weer terug. Maar intussen zat half Nederland zonder DigiD, en dat had opvallende gevolgen. ### Goksites deden gewoon mee Je zou verwachten dat online casino's direct offline zouden gaan bij zo'n lek. Niets bleek minder waar. Er werden dertig legale online gokaanbieders gecontroleerd, en allemaal waren ze gewoon bereikbaar. Ook inloggen verliep bij alle sites zonder problemen. Toch konden onderzoekers aan de openbare technische kenmerken niet zien welke aanbieders nu precies de getroffen PHP-software gebruikten. Een aantal casino's werd daarom gevraagd om een reactie. Tamas Mezosi, CEO bij het moederbedrijf van Oranje Palace, was duidelijk: > "Gelukkig gebruikt Oranje Palace geen PHP en is daardoor niet geraakt door deze kwetsbaarheid. Onze website blijft beschikbaar en alle diensten werken volledig." Ook Unibet had nergens last van. Woordvoerder Ryan van Osch legde uit dat Unibet.nl simpelweg niet op PHP draait en dus buiten de scope van het probleem valt. ### TOTO Winkel wel even offline Bij de Nederlandse Loterij lag het iets genuanceerder. TOTO en zustermerk Winnitt bleven gewoon online, maar de website van TOTO Winkel werd tijdelijk uit de lucht gehaald. Volgens het moederbedrijf had dat direct te maken met de gevonden kwetsbaarheden, en er werd alles aan gedaan om de site zo snel mogelijk weer online te krijgen. Holland Casino liet weten de situatie op dat moment te analyseren. Volgens Ilan Sluijs was alles onder controle en was het online casino in elk geval veilig. ### Cruks lag stil, en dat is best belangrijk Hier wordt het interessant. Want terwijl de goksites dus vrolijk bleven draaien, lag het Centraal Register Uitsluiting Kansspelen (Cruks) eruit. DigiD.nl was offline, en daardoor konden mensen zich niet inschrijven in Cruks. De Kansspelautoriteit haalde uit voorzorg haar eigen sites kansspelautoriteit.nl en openovergokken.nl offline. Op LinkedIn schreven ze dat het Nationaal Cyber Security Centrum tot dan toe geen actief misbruik van het lek had vastgesteld. Toch kozen ze voor de veilige route: pas weer online als de updates waren doorgevoerd. Wat opviel: cruksregister.nl bleef wel bereikbaar. Kansspelaanbieders konden dus gewoon Cruks-controles blijven uitvoeren. Alleen nieuwe inschrijvingen waren niet mogelijk zolang DigiD plat lag. ### Wat dit ons leert Een paar dingen springen eruit: - Niet elke site die op PHP draait, ging direct offline. Veel aanbieders bleken simpelweg andere techniek te gebruiken. - De kwetsbaarheid raakte vooral de publieke dienstverlening rond DigiD, niet zozeer de gokplatforms zelf. - Cruks-controles bleven werken, maar nieuwe inschrijvingen moesten wachten tot DigiD weer terug was. Na 18:00 kwam de site van de Kansspelautoriteit weer online. Cruks-inschrijvingen bleven nog even onmogelijk, simpelweg omdat DigiD nog niet werkte. Zodra dat weer draaide, konden mensen zich weer aanmelden. Het is een mooie herinnering dat één lek in een veelgebruikte programmeertaal een flinke rimpeleffect kan hebben. Zelfs als jouw favoriete casino gewoon bereikbaar blijft.