Vorige week werden twee ernstige lekken in PHP bekend, de programmeertaal waar WordPress en de meeste websites op draaien. Goed nieuws eerst: alle websites op Provisual-hosting zijn beschermd en je hoeft zelf niets te doen. Hieronder lees je wat er aan de hand was, wat het voor jouw website kan betekenen en hoe wij het hebben aangepakt.
Heb je een website die al jaren niet meer onder handen is genomen? Lees dan zeker het laatste stuk.
Wat er gebeurde
De details van de lekken lagen op straat vóórdat er een oplossing was. Normaal krijgen beheerders eerst de update en wordt het lek pas daarna openbaar; deze keer ging het andersom.
| Datum | Wat er gebeurde |
|---|---|
| 20 oktober | Details van twee lekken in PHP (bijnaam PHP2Shell) lekken online uit, nog vóór de geplande bekendmaking. Het PHP-team kondigt een spoedupdate aan. |
| 21 oktober | PHP brengt de gerepareerde versies uit: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Hostingproviders beginnen direct met uitrollen. |
| 22 oktober | Beveiligingsonderzoekers melden dat het lek in de praktijk al wordt misbruikt. |
| 23 oktober | PHP meldt een derde, vergelijkbaar lek. Daarvoor komt geen aparte update; de tijdelijke oplossing is een kleine instelling uitzetten. |
Bronnen: CERT-EU, watchTowr, Huntress.
Wat is het lek, in gewone taal?
Met dit lek kon een aanvaller van buitenaf eigen code laten uitvoeren op een webserver, zonder in te loggen. Dat is zo’n beetje het ergste soort lek dat er bestaat: het kreeg een ernstscore van 9,2 op 10.
PHP is de motor onder de motorkap van je website. WordPress, WooCommerce en de meeste andere websitesystemen draaien erop. Het lek zat niet in een plugin of thema, maar in die motor zelf. Daardoor kon élke website op een kwetsbare PHP-versie geraakt worden, hoe goed de site zelf ook bijgehouden was.
Technisch gezien ging het mis in hoe PHP omgaat met geheugen wanneer er iets fout loopt. Een aanvaller kon dat uitlokken met een speciaal opgesteld verzoek en zo de server zijn eigen opdrachten laten uitvoeren. Meer hoef je er als ondernemer niet van te weten.
Wat kan de impact zijn?
Wie via zo’n lek binnenkomt, heeft in feite de sleutels van je website. Wereldwijd stonden volgens Palo Alto Networks ruim 22 miljoen servers open die mogelijk kwetsbaar waren. Wat een aanvaller daarna kan doen:
- Gegevens stelen: klantgegevens, bestellingen, contactformulieren, wachtwoorden.
- Je site misbruiken: spam versturen, phishingpagina’s plaatsen of bezoekers doorsturen naar malafide sites.
- Schade aan je naam: Google kan je site als onveilig markeren, waardoor bezoekers een rode waarschuwing zien en je vindbaarheid keldert.
- Gijzelen of wissen: bestanden versleutelen of je site onbruikbaar maken.
Het grootste risico lopen sites op PHP 8.1 of ouder. Die versies krijgen van PHP zelf geen officiële beveiligingsupdates meer. Voor die sites is er dus geen simpele update: ze blijven kwetsbaar zolang ze op die oude versie draaien.
Hoe Provisual ermee is omgegaan
Binnen twee dagen na de eerste melding waren alle websites op onze hosting beschermd. Dit is wat we gedaan hebben:
- 21 oktober, dezelfde dag als de PHP-update: we hebben alle websites die wij hosten nagelopen. Sites die nog op PHP 8.1 of ouder draaiden, hebben we overgezet naar PHP 8.2 of hoger. Daarna hebben we elke site gecontroleerd of alles nog goed werkte.
- Oudere sites die niet mee konden: een klein aantal websites werkt niet op een nieuwere PHP-versie. De eigenaren daarvan hebben we persoonlijk benaderd; een deel van die sites staat in overleg tijdelijk offline.
- 22 oktober: onze hostingproviders rolden de gepatchte PHP-versies uit. Wij hebben per server gecontroleerd of de veilige versie ook echt actief was, en niet alleen aangekondigd.
- 22 oktober, middag: alle providers bevestigden dat de updates zijn doorgevoerd of dat het lek serverbreed onschadelijk is gemaakt, onder meer met een extra firewall die verdacht verkeer direct blokkeert.
- Het derde lek (23 oktober): de tijdelijke maatregel is doorgevoerd. Merkbaar effect: bij sommige sites ontbreekt tijdelijk de voortgangsbalk bij het uploaden van bestanden. Het uploaden zelf werkt gewoon.
We hebben elke stap direct gemeld op onze statuspagina, zodat je niet hoefde te bellen of te mailen om te weten waar je stond.
Status nu: alle websites op Provisual-hosting draaien op een beschermde PHP-versie. Je hoeft zelf niets te doen. Twijfel je over iets? Open een supportticket of bel of app ons op +31 493 845 429.
Draait jouw site op oude techniek? Dan is dit het moment
Dit lek liet pijnlijk zien waar de echte risico’s zitten: niet bij goed onderhouden sites, maar bij websites die technisch zijn blijven stilstaan. Een site die alleen op PHP 8.1 of ouder werkt, kun je niet meer veilig houden met een update. Dan blijven er twee opties over: offline halen, of opnieuw bouwen.
Herken je een of meer van deze punten? Dan is een nieuwe site waarschijnlijk slimmer dan blijven lappen:
- Je website is vijf jaar of ouder en is sindsdien niet wezenlijk vernieuwd.
- Updates van WordPress, je thema of plugins durf je niet meer te doen, omdat er dan iets stukgaat.
- Je site leunt op een thema of plugin die niet meer wordt onderhouden.
- De site laadt traag of ziet er op mobiel rommelig uit.
- Je wordt slecht gevonden in Google, en in ChatGPT of Gemini al helemaal niet.
Een nieuwe site lost dan meer op dan alleen de beveiliging. Je draait weer op actuele techniek die de komende jaren gewoon updates krijgt, je site is sneller en je bent beter vindbaar. En omdat wij WordPress-sites tegenwoordig met AI-ondersteuning opzetten en daarna zelf afwerken en controleren, sta je sneller live en tegen lagere kosten dan je misschien denkt.
Twijfel je hoe jouw site ervoor staat? Doe eerst de gratis website-scan: binnen een paar minuten zie je hoe het zit met snelheid, veiligheid en vindbaarheid. Weet je eigenlijk al genoeg? Vraag dan meteen een vrijblijvende offerte aan.
Tijd voor een website die weer jaren mee kan?
Vertel kort wat je nu hebt en wat je wilt. Je krijgt een concreet voorstel met een vaste prijs. Liever eerst sparren? Bel of app +31 493 845 429.
