Waarschuwingen omtrent Apple veiligheid oktober 2026

Vorige week waren er een aantal nieuwsberichten over computerveiligheid, en ik wil ze even kort bekijken om te zien of ze invloed op je hebben en wat je dan moet doen.

Dan begin ik het liefst met de conclusie: sommige van de beveiliging bugs waren groot, maar de impact voor jou als gewone gebruiker is waarschijnlijk relatief klein of is er helemaal niet.

Of dat inderdaad zo is hangt wel af van verschillende details, dus neem het even door om te zien of ze van invloed zijn op jou.

SSL-certificaten gelekt of gehackt: websites onveilig?

De eerste: doordat er iets mis is gegaan bij een bedrijf waar je waarschijnlijk nog nooit van gehord hebt (eMudhra) kunnen er nu veiligheid-certificaten voor websites gemaakt worden die er echt uit zien, maar dat niet zijn.

Om te begrijpen hoe dat werkt moet je eigenlijk begrijpen hoe SSL werkt, wat ik een keer heb laten zien in een video, maar hier wil ik vooral de focus leggen op het stukje: wat betekent dit voor jou?

Waarschijnlijk niets, want alle grote browsers (Google Chrome, Firefox, en natuurlijk Safari) hebben al updates uitgegeven. In de meeste omstandigheden zul je dus merken dat ze deze certificaten niet meer vertrouwen.

Je hoeft hier meestal niet eens een update voor te installeren, dit gebeurt in de achtergrond via andere methoden.

Controleer of je browser beveiligd is

Je kunt sowieso al snel controleren of je browser beveiligd is. Dit is dus waarschijnlijk wél het geval.

Het beste is te kijken op https://emudhra.we-have-a-problem.com/, waar je kunt testen of jouw browser al beveiligd is.

Als je andere programma’s wilt testen, zoals bijvoorbeeld curl, kan dat door een test-pagina op te vragen, bijvoorbeeld via hier: https://applecoach.nl/emudhra-check

Die pagina stuur ik automatisch door naar zo'n test.

Let op: het is hier goed als je ziet dat de website onbetrouwbaar is! Dat is normaal natuurlijk niet, maar nu wil je dat juist zien.

Dus zie je iets van "Deze website is niet te vertrouwen, ga terug"? Dat is goed.

En zie je gewoon een tekstje als Your client successfully connected to the site. That's bad!, is dat juist niet goed.

Werk je in de Terminal op je Mac?

Het kan wel zijn dat je vatbaar bent als je bijvoorbeeld via de Terminal werkt met bepaalde programma's.

Zo gebruiken curl en git hun eigen lijst van vertrouwde certificaten, en de Mac komt standaard met een vrij oude versie van curl. Ook al zie je een geslaagde test in Safari, kunnen er dus nog steeds problemen zijn in andere programma’s.

Gebruik je deze programma’s? Volg dan Apples uitleg en eventuele tijdelijke maatregelen. Neem dit wel goed door voor je iets aanpast, want dit betekent wel het aanpassen van systeembestanden.

Wat kan er gebeuren als je niet beveiligd bent?

Stel dat je browser toch niet beveiligd is, of je werkt in de Terminal met programma's die dat niet zijn. Wat kan er dan echt gebeuren?

Dan kan het dus zijn dat iemand je voor de gek weet te houden, en je dus met oplichting te maken krijgt. Of ze kunnen je netwerkverkeer afluisteren, en mogelijk zien welke informatie jij stuurt naar een website.

Daarvoor moet een aanvaller ook je verbinding kunnen onderscheppen of omleiden. Denk aan een kwaadaardig WiFi-netwerk, een onveilige DNS-server (leer hier meer over een veilige DNS, en waarom het belangrijk is), of zelfs een gehackte router.

Belangrijk om te weten is dat het verkeerde certificaat vertrouwen iemand dus niet zomaar toegang tot je Mac geeft.

Dat betekent wel dat er al meer aan de hand moet zijn. Je hebt bijvoorbeeld een onveilige DNS, of je zit op een onbetrouwbaar WiFi-netwerk.

In de praktijk zul je dus niet zo snel écht een probleem hebben. Maar kijk het wel even na, want als je ziet dat je browser hier vatbaar voor is, kan dat ook wel betekenen dat je gewoon niet goed alle veiligheid updates ontvangt. Dan is dit dus meer een symptoom van een groter probleem.

PHP bevat beveiligingslekken: jouw website onveilig?

De volgende, ook niet specifiek voor Apple-gebruikers, maar mogelijk wel relevant: een veiligheidslek in de programmeertaal PHP dat zo ernstig was dat je er misschien over gelezen hebt in het "gewone" nieuws.

Voor deze lekken hoef je op je Mac of iPhone zelf niets aan te passen. Je kunt zelfs niets doen. Dit gaat om de servers waar die websites draaien.

Zonder hier nu op alle technische details in te gaan, zijn er twee dingen die waarschijnlijk relevant zijn.

Heb jij zelf een website?

Om te beginnen zal dit je vooral raken als jij zelf een website hebt. Of dat nu een persoonlijke website is of een website voor je bedrijf, als je iets van een website op internet hebt kan het zijn dat je kwetsbaar bent voor deze bug.

Dat is alleen zo wanneer je gebruik maakt van PHP voor de website, maar dat is dan weer iets wat je ook makkelijk onbewust kunt doen.

Sowieso: gebruik je WordPress (denk ook aan WooCommerce), Joomla, PrestaShop, Drupal, of Magento? Dit zijn een paar grote systemen die PHP gebruiken, dus dan gebruikt jouw website PHP.

In dit geval wil je zorgen dat je beveiligd bent tegen de bug. Hoe dat precies zit hangt helemaal af van je hosting-omgeving, en het beste is waarschijnlijk contact op te nemen met je provider, en simpelweg te vragen of je beschermd bent.

Verwijs naar CVE-2026-109618 en CVE-2026-109619, en vraag of ze hier iets tegen gedaan hebben.

Zo ja, zit je goed. Zo nee, wil je waarschijnlijk eigenlijk op zoek naar een andere hosting-provider als ze dit nu nog niet opgelost hebben.

Het gevaar als je niets doet, is dat mensen mogelijk toegang kunnen krijgen tot je server. Dat betekent dat ze daarna andere dingen op je website kunnen zetten, en ook gegevens kunnen uitlezen van je bestaande website.

En dat brengt me gelijk naar punt #2…

Gebruik je unieke wachtwoorden?

Ook als je zelf geen website hebt, kun je indirect geraakt worden door deze fout in PHP.

Wordt een website waar jij een account hebt gehackt, dan kan een aanvaller mogelijk gegevens buitmaken. Denk aan persoonsgegevens, maar soms ook aan wachtwoorden of gegevens waarmee je ingelogd blijft.

Dat betekent niet dat jouw gegevens daadwerkelijk gestolen zijn. Maar het laat wel zien waarom unieke wachtwoorden zo belangrijk zijn.

Want nu komen we op het typische punt waar je misschien denkt "ach, dan weet iemand mijn wachtwoord op [onbelangrijke website]", maar als je dat zelfde wachtwoord ook gebruikt bij een webwinkel, met hetzelfde e-mailadres, neemt een hacker die misschien ook over.

En voor je het weet heb jij een rekening van duizenden euro's, en zij een nieuwe Apple laptop.

Zorg daarom dat je unieke wachtwoorden gebruikt, en het liefst een wachtwoorden-programma om ze te beheren.

Daarbij is Apple's eigen Wachtwoorden-app mijn standaard advies op nieuwere OS-versies.

WhatsApp accounts worden gehackt via een link? (Ghost Pairing)

Dan degene die misschien wel de meeste mensen treft: WhatsApp.

Met enge termen als "ghost pairing" lijkt dit misschien erg spannend.

Zoals het bericht rond ging in sommige media leek het wel alsof iemand je een link kan sturen, en dat ze gelijk je account gehackt hebben. Gelukkig is het niet zo erg.

Zelfs alleen maar klikken op de link is niet genoeg. Voordat ze toegang hebben zijn er meerdere stappen nodig. Het helpt wel om te begrijpen wat er precies gebeurt.

Het abstracte proces: wat gebeurt er eigenlijk?

Ik wil eerst even kijken naar de daadwerkelijke stappen. De "hack" is namelijk oplichting, misleiding, en niet zo zeer een technisch veiligheid-lek bij WhatsApp.

Je kunt op web.whatsapp.com inloggen met je telefoonnummer, zodat je via je computer je eigen WhatsApp-berichten kunt zien en verzenden. Dat is normale, legitieme functionaliteit van WhatsApp.

En hier maken de oplichters gebruik van, door met jouw telefoonnummer in te loggen op die website.

Globaal werkt het als volgt:

1. Ze vragen je telefoonnummer
2. Ze gaan naar web.whatsapp.com en vullen je nummer in
3. Na het invullen van je nummer krijgen ze een code in beeld. Die code is bedoeld om te bevestigen dat zij de eigenaar zijn van het nummer
4. Ze vragen aan jou (de echte eigenaar) om die code in te vullen in jouw WhatsApp
5. Nadat je dat doet is "hun" web.whatsapp.com gekoppeld aan jouw nummer, en kunnen ze dus je berichten lezen, en namens jou versturen

Hoe ze je misleiden: het voorbeeld wat nu veel rond gaat

Als zo'n oplichter tegen jou zegt "Mag ik je nummer? En wil je straks deze code invullen? Dan kan ik straks inloggen bij WhatsApp, en doen alsof ik jou ben.", dan zou je dat natuurlijk nooit doen.

Dus moeten ze een mooi verhaal verzinnen. En dan krijg je nu bijvoorbeeld iets als "Hey, zou je alsjeblieft willen stemmen op de dochter van mijn vriendin? Ze kan dan een gratis dansles winnen, en dat zou echt heel waardevol zijn voor haar!"

Daarna volgt dan een link. Let op: die link kan dus via WhatsApp komen, maar het zou ook via e-mail kunnen. Of iemand zou je zelfs een papieren formulier kunnen geven, en je vragen daar je telefoonnummer op te schrijven.

Het is puur een manier om te zorgen dat ze jouw telefoonnummer krijgen.

Nadat je je nummer invult op de website gaat de oplichter snel naar de WhatsApp-website, en vult daar jouw telefoonnummer in.¹

Maar nu moeten ze nog bewijzen dat zij de eigenaar van jouw nummer zijn. Dat zijn ze natuurlijk niet, dus moeten ze jou overtuigen dat je de code intypt in je WhatsApp.

En daar komt de volgende truc: ze laten je de code zien, maar zeggen niet waar het echt voor is. In plaats daar van zal er staan dat het is om te bevestigen dat je wel echt een mens bent, net als die "klik op alle fietsen"-plaatjes. Iets als "typ deze code in bij WhatsApp om je stem te bevestigen, anders telt je stem niet".

Wanneer jij dat doet ziet WhatsApp gewoon "Ah, de code is ingevuld, dan zal dit de eigenaar zijn", en nu is hun computer gekoppeld aan jouw WhatsApp.

Wat is het risico van deze WhatsApp oplichting?

Stel dat dit inderdaad gebeurt, wat kunnen ze dan?

Ze kunnen al je berichten meelezen, en ook namens jou berichten versturen. WhatsApp blijft ondertussen op je eigen telefoon gewoon werken, waardoor je misschien niet meteen merkt dat er iets mis is.

Dus het typische advies van "deel nooit je codes met andere mensen of websites" is hier nog te weinig. Hier zit namelijk ook de andere kant: voer niet zomaar codes in.

Koppel alleen apparaten die je zelf wilt gebruiken.

Controleer of jij (per ongeluk) toegang hebt gegeven

Ben je bang dat je misschien toch per ongeluk toegang hebt gegeven?

Zo controleer je het:

1. Open WhatsApp op je iPhone
2. Tik rechtsondeerin op "Jij"
3. Ga naar "Gekoppelde apparaten"

Hier zie je andere apparaten. Als je daar niets ziet, dan zit je sowieso goed.

Zie je daar wel iets? Dan zul je moeten kijken of dat inderdaad je eigen computers zijn, of dat er iets mis is.

Als het niet goed zit kun je er op tikken voor meer informatie. Maak daar eerst een foto of schermafbeelding van, dat kan makkelijk zijn als je hier later nog iets mee wilt. Kies daarna "Meld af" om de koppeling weg te halen.