Oktober 2026 gaat de boeken in als 'Black October' — de maand waarin cybersecurity-experts alarm sloegen over een nieuw tijdperk van hacken dat door AI wordt versneld. De aanleiding: een kritieke kwetsbaarheid in PHP, de software waarop ongeveer 70 procent van alle websites draait, werd dagenlang actief misbruikt vóórdat er een patch was. Voor het Nederlandse MKB is dit geen ver-van-mijn-bedshow. Jouw website, webshop of klantportaal draait hoogstwaarschijnlijk óók op PHP.
Wat er precies gebeurde
Deze week onthulden onderzoekers dat hackers een reeks PHP-kwetsbaarheden al dagen vóór de officiële patch uitbuitten. Dat is een fundamentele verschuiving. Vroeger had je na het ontdekken van een lek vaak weken of maanden de tijd om te patchen; nu is de marge soms nog maar uren — of negatief, zoals hier: de aanval kwam vóór de verdediging.
The Guardian en Wired beschrijven hoe AI-tools het hele aanvalsproces versnellen. Waar een aanvaller vroeger handmatig code moest lezen om een lek te vinden en te misbruiken, doet AI dat nu in minuten. The Guardian noemt het expliciet een 'new era of AI-enabled hacking'. Het resultaat: meer aanvallen, sneller, en gericht op slachtoffers die kwetsbaar zijn — precies het profiel van het MKB.
Waarom dit jouw bedrijf raakt
De meeste MKB-ondernemers denken dat hackers alleen op grote bedrijven en overheden mikken. De cijfers laten iets anders zien: aanvallers zoeken juist de zwakste schakels, en die zitten overal. Een webshop met een verouderd CMS, een WordPress-site zonder updates, een klantportaal dat op een oude PHP-versie draait — dat zijn allemaal open deuren.
Wat niemand je vertelt: je hoeft zelf geen doelwit van waarde te zijn om toch slachtoffer te worden. Hackers gebruiken gehackte MKB-websites als tussenstation voor phishing, spam en grotere aanvallen op anderen. Jij bent het lanceerplatform, en jij draait op voor de schade.
De Nederlandse realiteit
Nederland heeft met zijn hoge internetdichtheid en grote aandeel online handel een relatief groot aanvalsoppervlak. Het NCSC en het Digital Trust Center waarschuwen al jaren dat het MKB structureel te weinig investeert in basisbeveiliging. Uit onderzoek blijkt dat een groot deel van de Nederlandse mkb-websites op verouderde software draait, simpelweg omdat niemand binnen het bedrijf zich verantwoordelijk voelt voor updates.
Neem een bouwbedrijf met twintig medewerkers dat tien jaar geleden een website liet bouwen en er sindsdien nooit meer naar heeft omgekeken. De webshopmodule draait nog op een PHP-versie die al twee jaar geen beveiligingsupdates meer krijgt. Voor een AI-ondersteunde aanvaller is zo'n site in minuten binnengedrongen — niet omdat het bedrijf waardevol is, maar omdat het makkelijk is.
Er is een tweede effect dat vaak over het hoofd wordt gezien: de AVG. Als jouw website gehackt wordt en er lekken klantgegevens uit, ben jij aansprakelijk — óók als je de software niet zelf hebt gebouwd. Een gehackte webshop met een paar duizend klantprofielen is al snel goed voor een meldplicht én een boete.
De kosten van niets doen
Een ransomware-aanval op een MKB-bedrijf kost in Nederland gemiddeld tienduizenden euro's. Tel daar de omzetderving bij op als je webshop dagen plat ligt, en het juridische traject dat volgt. De rekening van 'even niets doen' loopt snel op tot een bedrag waar je een jaar lang een beheerder van had kunnen betalen. Beveiliging is niet duur; de afwezigheid ervan wel.
Wat je vandaag kunt doen
Stap 1 — Inventariseer je software. Weet welke software jouw website en systemen draaien, en of die nog updates krijgen. Een verouderd CMS is een open uitnodiging.
Stap 2 — Zet automatisch updaten aan. De meeste platforms kunnen zichzelf veilig updaten. Schakel dat in, en stel een maandelijks moment in om handmatige componenten te controleren.
Stap 3 — Maak back-ups én test ze. Een back-up die je nooit terugzet, is geen back-up. Test maandelijks of je je site en data daadwerkelijk kunt herstellen.
AI heeft de spelregels veranderd: de aanval is nu sneller dan de verdediging. Maar de basisregels van beveiliging zijn niet veranderd. Wie zijn software bijhoudt, zijn updates automatiseert en zijn back-ups test, is voor de meeste AI-versnelde aanvallen al een te duur doelwit.