Op 20 oktober waarschuwden de makers van PHP voor twee ernstige kwetsbaarheden. Beide kregen een score van 9,2 op 10. Afhankelijk van de configuratie kan een aanvaller daarmee code uitvoeren op een kwetsbare server. Een dag later gingen in Nederland honderden websites uit voorzorg op zwart.
Volgens het NCSC was er op dat moment nog geen misbruik gezien. Toch kozen al die organisaties ervoor hun site uit de lucht te halen. Dat zegt genoeg over hoe groot het risico van een open lek in PHP is.
Waarom dit zoveel websites raakt
PHP draait onder een groot deel van het web, en WordPress is erop gebouwd. Een lek in PHP raakt dus niet één website, maar alles wat erop draait: de site zelf, de beheeromgeving en elke plugin. Wie de server zelf beheert, moet de update zelf installeren. Tot die tijd is de enige veilige keuze de site uit de lucht halen.
Hoe wij het anders doen
Wij bouwen websites en software niet op PHP of WordPress. We werken met moderne programmeertalen en frameworks, waarbij een website vooraf wordt opgebouwd en als vaste pagina's wordt geserveerd. Er draait dan geen PHP-server die bij elk bezoek code uitvoert, en er zijn geen plugins van derden die een deur openzetten. Zo'n site heeft dus geen PHP-server die door dit specifieke lek kan worden geraakt.
Dat betekent niet dat zo'n site zonder risico is. Geen enkele website is dat. Ook moderne software heeft afhankelijkheden die soms een lek blijken te hebben, en ook een vooraf gebouwde site staat op een server en achter een domeinnaam die goed beveiligd moeten zijn. Het verschil zit in hoeveel code er voor de bezoeker openstaat en wie verantwoordelijk is voor het bijwerken ervan.
Updates horen bij ons beheer, niet bij jou. Hosting, beveiligingsupdates en back-ups lopen via hetzelfde team dat de site bouwt, zodat niemand hoeft te onthouden om op een knop te drukken. Updates en back-ups horen standaard bij het beheer, juist omdat er altijd een volgend lek komt.
Wat we voor je bouwen en beheren
Websites: snel, goed vindbaar en zonder plugins of beheerpaneel dat open op internet staat. We bouwen ze op moderne frameworks en hosten ze zelf.
Webshops: bestellen en betalen zonder losse WordPress- of WooCommerce-plugins die je zelf moet bijhouden.
Software voor jouw branche: offertes, planning, facturen en een klantportaal in één systeem, gebouwd op dezelfde veilige basis.
Hosting en beheer: hosting, beveiligingsupdates, dagelijkse back-ups en kleine wijzigingen liggen bij ons. Jij hoeft nergens aan te denken.
Draait jouw website op WordPress? Zo pak je het aan
Een WordPress-site is niet per definitie onveilig. Veel problemen ontstaan doordat niemand zich echt verantwoordelijk voelt voor het onderhoud. Met deze stappen breng je dat in kaart:
- Vraag wie de server beheert: je hostingpartij, je webbouwer of jijzelf. Vraag welke PHP-versie er draait en of de beveiligingsupdate voor deze lekken al is geïnstalleerd.
- Werk WordPress, thema en plugins bij: maak eerst een back-up, werk daarna alles bij en controleer of formulieren, betalingen en boekingen nog werken.
- Ruim plugins op: verwijder plugins die je niet gebruikt, ook als ze zijn uitgeschakeld. Elke plugin is code die iemand moet bijhouden.
- Beveilig het inloggen: zet tweestapsverificatie aan voor alle beheerders, gebruik unieke wachtwoorden en verwijder accounts van oud-medewerkers of vorige bouwers.
- Controleer je back-ups: zorg dat er een kopie buiten de server staat en dat iemand weet hoe je die terugzet.
- Leg vast wie updates doet: spreek af wie het doet en hoe vaak, en wie je belt als er een nieuw lek is.
Overstappen of blijven?
Werkt je huidige site goed en is het onderhoud goed geregeld, dan is overstappen niet nodig. Merk je dat updates blijven liggen, dat niemand weet welke plugins er draaien of dat de site bij elke update iets kapotgaat, dan is het verstandig om te kijken naar een opzet met minder onderdelen.
Wil je weten hoe je huidige website ervoor staat? Doe de gratis websitecheck. Wil je overstappen? We zetten je site over zonder dat je je plek in Google kwijtraakt (zo pak je een websitemigratie aan). Start je intake en we reageren binnen één werkdag.