Onderzoek naar beveiligingsblootstelling 2026: PHP, HSTS en CVE-blootstelling bij 268,000 sites in Japan, de G7, Vietnam en Maleisië

• We hebben 268,485 sites in 10 regio's (Japan, VS & generieke TLD's, Verenigd Koninkrijk, Duitsland, Frankrijk, Italië, Canada, Vietnam, Maleisië en een wereldwijde lijst van topsites) elk één keer op de gewone manier opgevraagd, en 121,903 gaven antwoord. We hebben alleen vastgelegd wat elke server in zijn antwoord over zichzelf vertelt.
• Japan scoort op alle 8 gemeten beveiligingsmaatregelen het laagst (HTTPS afdwingen, HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, WAF/CDN ervoor). CSP staat op 7.8% en HSTS op 18.1%; 11.3% van de Japanse sites dwingt HTTPS niet af, tegenover 1.5–4.1% elders.
• End-of-life PHP komt overal veel voor. Onder sites die een PHP-versie tonen, ligt het aandeel met een versie die geen beveiligingsupdates meer krijgt tussen 29.8% (Duitsland) en 64.2% (Vietnam). Japan zit op 52.3%, en 24.0% van de Japanse sites die hun PHP-versie tonen, laat nog PHP 5.x zien: het hoogste aandeel van alle regio's.
• In de meeste regio's toont ongeveer zes op de tien sites met zichtbare PHP-versie nog een versie die ouder is dan de releases met de fix voor de kritieke PHP-kwetsbaarheden van 2026 (CVSS 9.8). Duitsland (34.3%) is de uitzondering. Japan zit op 59.5%, en op 64.1% bij de hoogst gerangschikte Japanse sites.
• Bij klassen van kwetsbaarheden die tot remote code execution (RCE) of misbruik van geheugencorruptie kunnen leiden, is de blootstelling van Japan voor RCE-achtige CVE's ruwweg twee keer zo hoog als die van het Verenigd Koninkrijk, de VS en Duitsland (3.5% tegenover 1.5%, 1.7%, 1.8%). Bij CVE's voor geheugencorruptie ligt Japan (8.1%) ver boven het Verenigd Koninkrijk (3.1%), maar gelijk met Duitsland (7.6%) en Frankrijk (8.2%); Italië (10.1%) en Vietnam (16.2%) liggen hoger.

Dit artikel is ook in het Engels gepubliceerd op sitescouter.net, en in het Japans op sitescouter.net. Dit is de Nederlandse editie op Site Scouter, vertaald uit de Engelse versie.

Reikwijdte en methode

Samenstelling van de steekproef. Regio's buiten Japan zijn per landcode-TLD uit de Tranco-lijst van topsites gehaald (Verenigd Koninkrijk: .uk/.co.uk; Duitsland: .de; Frankrijk: .fr; Italië: .it; Canada: .ca; Vietnam: .vn; Maleisië: .my). "VS & generieke TLD's" is .us/.com/.net/.org zonder ccTLD's van andere landen; het is dus een benadering van het Engelstalige web, geen lijst van in de VS gehoste sites. "Wereldwijde topsites" is de top van de Tranco-lijst. Japan is uit drie bronnen getrokken: Tranco (.jp), Majestic Million (.jp) en 130,070 domeinen uit de eigen zoekgeschiedenis van SiteScouter. Dat zijn domeinen die gebruikers in een Japanse SEO-tool hebben ingetypt, waaronder veel verlopen of geparkeerde domeinen (slechts 11.7% gaf antwoord, tegenover 66.3% bij Tranco en 72.5% bij Majestic). Vergelijkingen tussen regio's hieronder gebruiken de volledige steekproeven; waar de Japanse bronnen wezenlijk verschillen, tonen we ze apart.

Wat "blootstelling" hier betekent

"Blootstelling" betekent in dit rapport dat de versiestring die een server prijsgaf binnen het getroffen bereik van een publieke CVE valt. Linuxdistributies passen fixes vaak met backports toe zonder de versiestring te wijzigen, en een WAF of CDN kan de aanvalsroute blokkeren, dus een gemarkeerde site kan al veilig zijn. De percentages zijn bovengrenzen. We hebben niet getest of een site daadwerkelijk misbruikt kan worden. Het omgekeerde geldt ook: sites die hun versie verbergen (74.3% van de Japanse sites die antwoordden) zijn met deze methode onzichtbaar, en een versie verbergen is goede hygiëne, maar betekent niet dat de software actueel is.

Beveiligingsmaatregelen: Japan staat op alle acht onderaan

(% van de sites die antwoordden.)

Het grootste verschil zit bij HTTPS: 11.3% van de Japanse sites (4,068) dwingt HTTPS niet af, tegenover 1.5–4.1% elders. Een pagina die nog via gewoon HTTP laadt, kan onderweg worden gewijzigd, en inloggegevens kunnen worden onderschept.

Voor een eerlijke lezing zijn twee kanttekeningen van belang:

• De hoge headerscores van het Verenigd Koninkrijk leunen op Cloudflare. 78.2% van de Britse sites staat achter een WAF/CDN, en Cloudflare voegt standaard X-Frame-Options, X-Content-Type-Options en Referrer-Policy toe. Die cijfers weerspiegelen evenzeer een standaardinstelling van de leverancier als keuzes van site-eigenaren. Japan heeft het laagste aandeel WAF/CDN (20.0%).
• Het verschil is geen bijeffect van de lange staart in de Japanse steekproef. Alleen de hoogst gerangschikte Japanse sites (Tranco) scoren HSTS 27.5% en CSP 10.9%. Dat is op HSTS hoger dan het Verenigd Koninkrijk (22.9%), maar lager dan alle andere regio's op HSTS (30.7–51.9%) en lager dan alle regio's op CSP (19.8–35.7%).

TLS 1.0 en 1.1 zijn nergens waargenomen. Het aandeel sites dat bij TLS 1.2 stopt (geen TLS 1.3) is 13.6% in Japan, 12.1% bij VS & generieke TLD's, 4.2% in het Verenigd Koninkrijk en 20.3% in Vietnam.

Een eenvoudige hygiënescore (één punt elk voor HTTPS afgedwongen, HSTS, CSP, X-Frame-Options, X-Content-Type-Options, versie verborgen, geldig certificaat) komt in Japan gemiddeld uit op 3.17, tegenover 4.81 in het Verenigd Koninkrijk, 4.42 in Duitsland en 4.34 bij VS & generieke TLD's. 10.9% van de Japanse sites scoort 1 of lager; in het Verenigd Koninkrijk is dat 1.3%.

Prijsgeven van versies

Wie de exacte versie noemt, maakt het makkelijker om als doelwit gekozen te worden. Ons standpunt is echter niet "verberg het", maar "eerst bijwerken, dan verbergen". Een versie verbergen lost niets op.

PHP: end-of-life-versies komen in elke regio veel voor

Ondersteuningsstatus per oktober 2026: PHP 8.1 en lager krijgen geen beveiligingsupdates meer (end of life); 8.2 krijgt alleen nog beveiligingsupdates tot 31 december 2026; 8.3 en hoger worden volledig ondersteund.

(Aandeel PHP 5.x = sites met PHP 5.x ÷ sites met zichtbare PHP-versie, berekend uit de getoonde aantallen.)

Japan is geen uitschieter wat het totale aandeel end-of-life betreft (Vietnam en de wereldwijde lijst liggen hoger), maar wel in de lange staart van zeer oude versies: 24.0% van de Japanse sites met zichtbare PHP-versie toont PHP 5.x, het hoogste van alle regio's. PHP 5.6, waarvan de laatste release (5.6.40) in januari 2019 uitkwam, is in Japan de op twee na meest voorkomende minorversie (453 sites).

De kritieke PHP-kwetsbaarheden van 2026: hoeveel sites tonen nog een ongepatchte versie

In 2026 werden voor PHP CVE-2026-109618 en CVE-2026-109619 (CVSS 9.8, CRITICAL) gepubliceerd. Het zijn use-after-free-fouten die worden uitgelokt door de afhandeling van longjmp() wanneer het geheugen opraakt, en ze kunnen geheugeninhoud tussen verzoeken door elkaar halen. Daardoor kunnen gegevens of de sessie van een andere gebruiker uitlekken, en kan de fout worden misbruikt voor overname. De releases met de fix zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12.

Japan, uitgesplitst naar steekproefbron: Tranco-toplijst 64.1% (600 van 936), Majestic Million 56.3% (605 van 1,075), zoekgeschiedenis 58.6% (638 van 1,088). Een bekende site zijn betekent niet dat er gepatcht is.

Het lage Duitse cijfer komt zowel door een jongere versiemix (500 van de 913 Duitse sites met zichtbare PHP-versie draaien 8.3 of hoger) als door sneller patchen. Van de 1,842 gemarkeerde Japanse sites die we in een versiereeks konden plaatsen (1 minder dan het hoofdcijfer, door de manier waarop versiestrings bij de hermatching werden geïnterpreteerd), staan er 759 op 5.x of ouder en 549 op 7.4. De meeste zouden dus moeten overstappen naar een ondersteunde reeks in plaats van een kleine update uit te voeren.

Matching met publieke CVE's

"RCE-klasse" omvat CVE's waarvan het type zwakte het op afstand uitvoeren van commando's of code mogelijk maakt (bijv. CWE-77/78/94/502/434), het soort fout achter het installeren van webshells. "Geheugencorruptie" omvat CWE-119/125/787/416 en vergelijkbare. De meest voorkomende CVE in de RCE-klasse, CVE-2024-3566 (PHP, CVSS 9.8), treft alleen Windows, dus de hoofdkolom voor RCE laat die buiten beschouwing; inclusief deze CVE zit Japan op 5.4%.

Zonder omhaal gelezen: de blootstelling van Japan in de RCE-klasse (3.5%) is ongeveer twee keer zo hoog als die van het Verenigd Koninkrijk, de VS en Duitsland, vergelijkbaar met Frankrijk (3.4%) en Canada (3.5%), en lager dan Vietnam (4.5%). Bij CVE's voor geheugencorruptie ligt Japan (8.1%) op ongeveer 2.6 keer het Verenigd Koninkrijk, maar ongeveer gelijk met Duitsland (7.6%) en Frankrijk (8.2%), en lager dan Italië (10.1%) en Vietnam (16.2%). Japan is in deze tabel niet de slechtste, maar scoort op beide duidelijk slechter dan het Verenigd Koninkrijk en de VS.

Onder de webservers laat Apache httpd in elke regio zeer hoge CVE-percentages zien (Japan 92.5%, VS 84.5%, Verenigd Koninkrijk 84.7%, Duitsland 77.6% van de sites met zichtbare versie). Dat komt vooral doordat de nieuwste patchrelease (2.4.69) nog niet is toegepast na een reeks CVE's voor geheugencorruptie die 2.4.68 en ouder treffen; dat is een ander probleem dan jarenoude PHP 5.x die blijft staan. Bij een nieuw onderzoek zou dit snel moeten verschuiven. WordPress-core staat er veel beter voor (Japan: 22.1% van de sites met zichtbare versie matcht een CVE); over het hele onderzoek is de huidige release veruit de meest voorkomende versie, en de matches concentreren zich op oudere 6.x-releases.

Van de 1,622 Japanse sites met zichtbare PHP-versie op een end-of-life-versie vallen alle 1,622 binnen het bereik van minstens één publieke PHP-CVE, 1,568 daarvan binnen een CVE uit de RCE-klasse. Bij sites op ondersteunde reeksen zijn de cijfers 23.3% (8.2) en 13.7% (8.3+), en dat zijn vooral sites onder 8.3.36 die de fixes van 2026 niet hebben toegepast. Hetzelfde patroon, 100% bij end-of-life-versies en veel lager bij ondersteunde versies, zien we in alle zes vergeleken regio's.

Japan nader bekeken per domeintype

(Het aandeel PHP EOL gebruikt sites met zichtbare PHP-versie als noemer. Categorieën met te weinig sites om identificatie van afzonderlijke sites te voorkomen, zijn weggelaten.)

Overheidssites scoren relatief sterk op headers (HSTS 42.6%), maar de steekproef telt slechts 68 sites. Bedrijven vormen de grootste groep, en hun resultaten volgen het landelijke gemiddelde. Organisaties en onderwijs- en onderzoekssites scoren lager, met zeer weinig bescherming door een WAF/CDN (6.5% bij or.jp).

Wat site-eigenaren moeten doen

1. Werk PHP en serversoftware bij naar een ondersteunde reeks, en minstens naar 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12. Maak eerst een back-up en controleer of uw CMS, thema en plug-ins de nieuwe versie ondersteunen.
2. Verberg daarna de versiestrings (expose_php = Off, ServerTokens Prod, server_tokens off).
3. Dwing HTTPS af en zet HSTS aan. Begin met een korte max-age en verhoog die geleidelijk.
4. Voeg stap voor stap X-Content-Type-Options, X-Frame-Options, Referrer-Policy en CSP toe. Een CDN of WAF ervoor levert er vaak standaard meerdere.
5. Controleer de automatische verlenging van certificaten en de cookie-attributen (Secure, HttpOnly, SameSite).

Controleer uw eigen site

De serverinformatiecheck van SiteScouter gebruikt dezelfde niet-ingrijpende methode als dit onderzoek en laat zien wat uw server prijsgeeft: Server- en X-Powered-By-headers, TLS-versie, certificaat, beveiligingsheaders, cookie-attributen en vermelding in DNSBL's. Registratie is niet nodig.

Toelichting op de methode en beperkingen

Steekproef. Regio's buiten Japan komen per landcode-TLD uit de Tranco-toplijst; Japan combineert Tranco, Majestic Million en de zoekgeschiedenis van SiteScouter. De cijfers lezen. Elk blootstellingspercentage is een bovengrens op basis van prijsgegeven versiestrings. Details staan in de FAQ hieronder.

Veelgestelde vragen

Is dit een aanval?

Nee. Elke site kreeg één DNS-opzoeking, één TLS-handshake en één HTTP GET, hetzelfde als de site één keer in een browser openen. We hebben geen portscans uitgevoerd, niet naar kwetsbaarheden gezocht, geen inlogpogingen gedaan en geen exploitverkeer verstuurd. Alleen openbare HTTP-antwoorden en openbare DNS-gegevens zijn gebruikt.

Betekent "blootstelling" dat de site kwetsbaar is?

Nee. Het betekent dat de prijsgegeven versiestring binnen het getroffen bereik van een publieke CVE valt. Backports van distributies, WAF's en CDN's kunnen een gemarkeerde site veilig maken, dus elk blootstellingspercentage is een bovengrens. We hebben de misbruikbaarheid niet getest.

Worden afzonderlijke sites bij naam genoemd?

Nee. Nergens in dit rapport worden domeinnamen of bedrijfsnamen gepubliceerd, en we geven geen gegevens per host vrij.

Hoe zit het met sites die niet antwoordden?

Domeinen die niet resolveerden, niet reageerden of naar privéadressen wezen, zijn uit de noemers weggelaten. Van de 120,000 Japanse domeinen die niet reageerden, zijn de meeste naar verwachting verlopen domeinen uit de steekproef van de zoekgeschiedenis.

Zijn de gegevens ongewijzigd?

Resultaten worden alleen aangevuld (append-only) opgeslagen en alleen-lezen geaggregeerd; er is geen waarde bewerkt of verwijderd. Tijdens de aggregatie ontdekten we dat onze eerste CVE-matchingronde CPE's van andere producten vergeleek, en we hebben alle opgeslagen versiestrings opnieuw gematcht met een gecorrigeerde regel. Cijfers uit de eerste ronde worden nergens in dit rapport gebruikt.

Hoe meld ik een fout of vraag ik een correctie aan?

Neem contact op met de auteur via de gegevens hieronder.

Bronnen

Laatst gecontroleerd: 2026-10-24. Specificaties en beleid kunnen veranderen; raadpleeg de primaire bronnen voordat u actie onderneemt.

• PHP: Supported Versions (php.net)
• NVD - National Vulnerability Database (NIST)
• Tranco: A Research-Oriented Top Sites Ranking
• The Majestic Million