PHP-lek maakt inschrijven in Cruks tijdelijk onmogelijk, website Kansspelautoriteit uit de lucht
De Kansspelautoriteit (Ksa) heeft op woensdag 21 oktober 2026 uit voorzorg haar websites kansspelautoriteit.nl en openovergokken.nl uit de lucht gehaald. Aanleiding was een ernstig beveiligingslek in de programmeertaal PHP, waardoor websites wereldwijd kwetsbaar waren voor hackers. Omdat ook DigiD offline ging, was het tijdelijk niet mogelijk om je in te schrijven in Cruks, het Centraal Register Uitsluiting Kansspelen.
Het register zelf, cruksregister.nl, bleef wel bereikbaar. Kansspelaanbieders konden daardoor gewoon blijven controleren of een speler een gokstop heeft. De Ksa maakte de maatregel even voor 14:00 uur bekend via LinkedIn.
Kansspelautoriteit haalt websites uit voorzorg offline
In een bericht op LinkedIn schreef de Ksa dat zij uit voorzorg haar websites tijdelijk uit de lucht had gehaald. De toezichthouder wees erop dat ook andere organisaties, waaronder DigiD, MijnOverheid en de Tweede Kamer, om die reden offline waren gegaan.
Volgens de Ksa had het Nationaal Cyber Security Centrum (NCSC) tot dat moment geen actief misbruik van het lek vastgesteld. Toch nam de toezichthouder het zekere voor het onzekere: de websites zouden pas weer online komen als de benodigde updates waren doorgevoerd en de systemen veilig waren. Een woordvoerder van de Tweede Kamer legde tegenover de NOS uit dat de kwetsbaarheden het mogelijk maken om van afstand een server aan te sturen.
Het ging om twee lekken, bekend als CVE-2026-109618 en CVE-2026-109619, die samen PHP2Shell worden genoemd.
Een beveiligingsupdate stond gepland voor woensdag 21 oktober om 16:00 uur Nederlandse tijd. Volgens CasinoNieuws.nl kwam de website van de Kansspelautoriteit later die dag weer online.
Gevolgen voor de gokstop en voor spelers
Voor wie op die dag een gokstop wilde aanvragen, had de maatregel direct gevolgen. Online inschrijven in Cruks loopt via DigiD, en volgens de Ksa was dat door het uitvallen van DigiD tijdelijk niet mogelijk.
CasinoNieuws.nl meldde dat de DigiD-app nog wel werkte om bijvoorbeeld in te loggen op cruksregister.nl, terwijl de website DigiD.nl offline was. De Ksa hield in haar eigen bericht vast aan de lijn dat inschrijven op dat moment niet kon.
Aan de kant van de aanbieders liepen de controles intussen door. CasinoNieuws.nl bekeek de websites van dertig legale online gokaanbieders en stelde vast dat ze allemaal bereikbaar bleven en dat inloggen overal werkte. Op basis van openbare technische kenmerken kon de nieuwssite niet vaststellen welke aanbieders de getroffen PHP-software gebruiken. De websites van DigiD en MijnOverheid waren volgens de NOS en NRC dezelfde avond weer bereikbaar.
Lukt inschrijven via DigiD niet, dan bestaat er een andere route.
Op cruksregister.nl staat een papieren inschrijfformulier dat je kunt downloaden, invullen, ondertekenen en opsturen naar de Ksa. Die route werkt niet onmiddellijk, want je ontvangt pas na verwerking per post een bevestiging dat je ingeschreven staat. Voor hulp bij het inschrijven is de informatielijn van de Ksa op werkdagen tussen 9.00 en 13.00 uur bereikbaar via 070 302 13 00, en mailen kan naar [email protected]. Sta je al ingeschreven, controleer dan vandaag in Mijn Gokstop of je gegevens nog kloppen.
