Het PHP-lek van 21 oktober: de vraag is niet óf je site PHP draait, maar wie de update installeerde
DigiD, MijnOverheid en de Tweede Kamer gingen uit voorzorg offline. Het lek zit in PHP zelf, de taal waar het grootste deel van het web op draait. De update is er. De vraag die voor jouw site telt: wie heeft hem geïnstalleerd, en wist die dat het zijn taak was?
Op 21 oktober gingen DigiD, MijnOverheid en de website van de Tweede Kamer midden op de dag uit de lucht. Geen storing, geen hack: voorzorg. Er zat een kritiek lek in PHP, en de update kwam pas die middag.
PHP is de programmeertaal onder het grootste deel van het web. WordPress draait erop, net als Drupal, Joomla en Magento. Grote kans dus dat jouw website er ook op draait, of dat je het niet zeker weet.
Dit stuk gaat niet over hoe het lek technisch werkt. Het gaat over de vraag die het opriep bij elke ondernemer met een website: loop ik risico, en wie regelt dit eigenlijk voor mij?
Twee lekken in PHP zelf, en een middag zonder DigiD
Het ging om twee kritieke lekken in PHP zelf, niet in een plugin of thema. Ze kregen een ernstscore van 9,2 op 10. Via de lekken kan een aanvaller code uitvoeren op je server, zonder in te loggen. Vermoedelijk zijn alle gangbare versies vanaf PHP 5 kwetsbaar, en voor PHP 8.1 en ouder komt er geen officiële patch.
Er was al voorbeeldcode openbaar die laat zien hoe je de lekken misbruikt. Het Nationaal Cyber Security Centrum (NCSC) liet weten dat tijdelijke maatregelen niet volstaan: alleen de update helpt.
- 11 augustus Het eerste lek wordt gemeld bij de PHP Foundation.
- 24 augustus Beveiligingsbedrijf Wiz meldt het tweede.
- 21 oktober DigiD, MijnOverheid, de Tweede Kamer, het NCSC, RTL en de Vlaamse overheid halen sites uit voorzorg offline.
- 15:07 Het NCSC roept iedereen met PHP op de update te installeren.
- 15:43 De update staat online, eerder dan de aangekondigde 16:00.
- 18:11 en 20:27 Eerst MijnOverheid, daarna DigiD zijn weer bereikbaar.
Draait mijn website op PHP?
Waarschijnlijk wel. Volgens W3Techs gebruikt zo’n 70% van de websites waarvan de servertaal bekend is PHP. WordPress alleen al draait onder zo’n 42% van alle websites.
Heb je een WordPress-site, een webshop op WooCommerce of Magento, of een site die je bureau “in Drupal” of “in Joomla” bouwde, dan draait er PHP. En ook zonder eigen PHP-site kun je het onder je hebben: beveiligingsbedrijf Huntress wijst erop dat PHP ook in veel hostingpanelen zit.
Twijfel je? Kijk in je WordPress-beheer onder Hulpmiddelen, Sitediagnose, tabblad Info, kopje Server. Daar staat je PHP-versie. Geen WordPress: vraag het je hostingpartij, die weet het in één zin.
Wie installeert de update?
Dit is geen WordPress-probleem, en ook niet het probleem van één hostingpartij. Het is een onderhoudsprobleem: de update bestaat, maar iemand moet hem ergens installeren. En bij veel websites weet niemand precies wie dat is.
Die beheert de server en installeert PHP-updates. Eén addertje: in veel hostingpanelen kies je zelf een PHP-versie. Staat die vast op een oude, dan krijgt die geen patch.
Niets gaat vanzelf. Is er nooit afgesproken wie de server bijhoudt, dan doet niemand het.
Voor deze versies komt geen officiële patch. Alleen een upgrade naar een nieuwere PHP-versie helpt, en die kan je site breken als plugins of thema oud zijn.
Die laatste is de pijnlijke. Een site waar al jaren niemand aan zit, staat vaak op een oude PHP-versie juist omdat een upgrade een plugin zou breken. Dat ging prima, tot nu.
Bijna elke ondernemer die ik spreek weet wie de website heeft gebouwd. Bijna niemand weet wie hem bijhoudt. Daar kom je achter op een dag als 21 oktober, en dan is het te laat om het nog uit te zoeken.
Een update sluit de deur, maar kijkt niet wie er al binnen is
De update dicht het lek. Hij ruimt niet op wat iemand misschien al deed toen het lek nog openstond. De lekken waren al in augustus gemeld, en er circuleerde voorbeeldcode. Het NCSC zag op 21 oktober nog geen actief misbruik, maar beveiligingsbedrijf Sansec meldde dat Cloudflare al vroege aanvalspogingen zag.
Was je server bereikbaar tussen het bekend worden van het lek en de update, dan is updaten stap één, niet de laatste. Kijk daarna of er iets veranderd is dat je niet zelf veranderde.
Wat je vandaag checkt
-
Vraag je hostingpartij of PHP is bijgewerkt, en naar welke versie.
Eén mail of chatje. Een goede hostingpartij heeft het antwoord al klaarliggen.
-
Check je PHP-versie.
In WordPress: Hulpmiddelen, Sitediagnose, Info, Server. Staat er 8.1 of lager, dan heb je een upgrade nodig, niet alleen een update.
-
Werk eerst je plugins en thema bij, dan PHP.
Een nieuwere PHP-versie werkt niet met elke oude plugin. In die volgorde is de kans veel kleiner dat de upgrade je site platlegt.
-
Kijk of er beheerders of bestanden zijn die je niet kent.
Een onbekend beheerdersaccount, of recent gewijzigde bestanden waar niemand aan zat: dat is het moment om er een specialist naar te laten kijken.
-
Schrijf op wie het de volgende keer regelt.
Een naam, een telefoonnummer, en wat er in je contract staat over beveiligingsupdates. Dat is het antwoord dat je op 21 oktober wilde hebben.
Het volgende lek loopt net zo
Volgens Wiz zaten deze lekken al meer dan tien jaar in PHP. En AI maakt het vinden van zulke lekken sneller, ook voor aanvallers. Er komt dus een volgende, en die komt eerder.
Dan telt niet wat voor site je hebt, maar of er iemand is die het oppakt op de dag dat het moet. Dat is geen technische vraag. Het is een afspraak.
Hoe het bij Growthdesk zit
Growthdesk-sites draaien niet op PHP. Ze zijn gebouwd in Astro, een opensource-framework dat pagina’s als kant-en-klare HTML uitserveert, op servers van Hetzner in Duitsland. Er zit geen CMS onder, dus geen plugins en geen inlogscherm om bij te houden. Aanpassen gaat via WhatsApp.
Dat maakt een site niet onkwetsbaar, en dat beweert ook niemand. Het verschil zit in wie het draagt: een lek in PHP raakt deze sites niet, en een volgend lek in iets anders is werk voor Growthdesk, niet voor de klant.
Dus: is jouw site kwetsbaar?
Draait je site op PHP en heeft niemand op of na 21 oktober de update geïnstalleerd, dan waarschijnlijk wel. Weet je niet wie dat had moeten doen, dan is dat het eigenlijke probleem.
Loop vandaag de vijf checks hierboven langs. En leg daarna vast wie het de volgende keer doet, want die volgende keer komt.
Veelgestelde vragen
Is mijn website kwetsbaar voor het PHP-lek?
Als je site op PHP draait en de PHP-versie niet is bijgewerkt sinds de update van 21 oktober, waarschijnlijk wel. Vermoedelijk zijn alle gangbare versies vanaf PHP 5 kwetsbaar. Vraag je hostingpartij of PHP is bijgewerkt en naar welke versie, of kijk in WordPress onder Hulpmiddelen, Sitediagnose.
Is WordPress getroffen door het PHP-lek?
Het lek zit niet in WordPress, maar in PHP, de taal waar WordPress op draait. Elke WordPress-site draait dus op PHP en hangt af van de PHP-update op de server. Een WordPress-update alleen lost het niet op.
Is de update installeren genoeg?
Het dicht het lek, maar het ruimt niet op wat er misschien al gebeurde toen het openstond. Er circuleerde voorbeeldcode, dus kijk na de update of er onbekende beheerders of recent gewijzigde bestanden zijn. Zie je iets vreemds, laat er dan een specialist naar kijken.
Wat als mijn site op PHP 8.1 of ouder draait?
Dan komt er geen officiële patch. Alleen een upgrade naar een nieuwere PHP-versie helpt. Werk eerst je plugins en thema bij, want oude plugins werken niet altijd op een nieuwere PHP-versie.
Draaien Growthdesk-websites op PHP?
Nee. Growthdesk-sites zijn gebouwd in Astro en draaien zonder PHP, zonder CMS en zonder plugins, op servers van Hetzner in Duitsland. Updates en servers zijn het werk van Growthdesk; aanpassen gaat via WhatsApp.
Vul een geldig website-adres in (bv. jouwwebsite.nl).
