Zet je website na de PHP-noodupdate niet blind weer aan
In het kort
Het PHP-project heeft op 21 oktober updates uitgebracht voor twee ernstige kwetsbaarheden. CERT-EU adviseert getroffen organisaties onmiddellijk bij te werken en anders publieke toegang tijdelijk te beperken. Een geïnstalleerde reparatie zegt niet automatisch dat eerder misbruik is uitgesloten. Voor bedrijven vraagt heropening daarom om zowel technische controle als een zakelijke afweging van uitval en herstel.
Een website uitzetten is een zichtbare beslissing. De beslissing om hem weer aan te zetten krijgt minder aandacht, terwijl juist dan moet blijken of het probleem echt is verholpen. De winkel of overheidsdienst kan er voor bezoekers normaal uitzien terwijl de software eronder nog niet overal is bijgewerkt.
In het advies van CERT-EU van 21 oktober staan de gerepareerde versies: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De kwetsbaarheden zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619. Ze kunnen uitvoering van code op afstand zonder voorafgaande inlog mogelijk maken. Dat verklaart waarom tijdelijk offline gaan voor sommige organisaties een voorzorgsmaatregel was.
Inhoud van dit artikel
De reparatie verandert wat een beheerder moet aantonen
Het PHP-project publiceerde de beveiligingsinformatie na de eerdere aankondiging. Voor ondersteunde versies is daarmee een concrete herstelroute beschikbaar. Oudere, niet meer ondersteunde takken vragen extra aandacht: een reguliere update binnen die oude reeks is niet vanzelf beschikbaar vanuit het project.
Een beheerder moet de gebruikte omgeving controleren, niet alleen een versienummer uit een beheerscherm doorgeven. Hostingpakketten en distributies kunnen een reparatie ook in een eigen pakket verwerken. In dat geval is de expliciete bevestiging van die leverancier belangrijk. De relevante vraag is of de concrete installatie aantoonbaar tegen deze kwetsbaarheden is beschermd.
De economische reden voor die precisie is eenvoudig. Bij een keten van meerdere systemen kan één vergeten onderdeel de verwachte winst van het onderhoud ondermijnen. Een succesvolle update van de publieke website zegt niet zonder meer iets over een los klantportaal of een tweede server die hetzelfde verkeer verwerkt.
Bijwerken en onderzoek beantwoorden verschillende vragen
Een beveiligingsupdate sluit de betreffende kwetsbaarheid voor toekomstig misbruik. Zij bewijst niet dat vóór de update niets is gebeurd. Als er aanwijzingen zijn voor misbruik, moet een bevoegde beheerder of incidentonderzoeker beoordelen welke aanvullende stappen nodig zijn. Een algemeen nieuwsbericht kan die beoordeling niet vervangen.
Dat betekent ook niet dat iedere kwetsbare site gehackt is. Een waarschuwing, blootstelling en bewezen misbruik zijn drie verschillende toestanden. Voor klanten maakt die formulering uit. Een organisatie die zonder bewijs een datalek meldt, kan onnodige onrust veroorzaken. Een organisatie die zonder onderzoek volledige zekerheid belooft, kan later juist vertrouwen verliezen.
Hetzelfde geldt voor de werking na de update. Een bereikbare homepage is een beperkte test. Voor een webwinkel zijn afrekenen en orderverwerking minstens zo belangrijk; voor een overheidsdienst kan dat het verzenden van een aanvraag zijn. Het economische herstel begint pas wanneer de belangrijkste handelingen weer correct worden afgerond.
Wat een mislukte heropening werkelijk kost
Neem een fictieve dienst met €2.000 bijdrage per uur na vermijdbare kosten. Een foutieve heropening veroorzaakt zes uur nieuwe uitval plus €8.000 herstelkosten. Dat kost in het scenario €20.000. Een extra gecontroleerde hersteltest van €2.000 verdient zich op dit ene risico terug als zij de kans op die mislukking met meer dan tien procentpunt verlaagt.
De berekening is €2.000 gedeeld door €20.000. Dit is geen gemeten faalkans van PHP-updates. De som helpt een organisatie wel om het gesprek te voeren over een testbudget in plaats van alleen de haast waarmee een website weer online moet.
De tegenwerping is terecht dat testen zelf tijd kost. Bij een ernstige kwetsbaarheid kan een lange testcyclus de blootstelling verlengen. Daarom moeten beperking van toegang, de update en controle op herstel in samenhang worden georganiseerd. De keuze hoeft niet te zijn tussen onbeperkt openblijven en dagenlang wachten op een perfecte testomgeving.
Goed herstel wordt goedkoper wanneer het herhaalbaar is
Een terugkerend herstelproces heeft waarde buiten dit ene lek. Een organisatie die haar kritieke diensten kent en een update kan controleren, hoeft niet bij ieder incident opnieuw rollen en toegangsrechten uit te zoeken. Dat verkort de duur van toekomstige onderbrekingen.
We modelleren een jaarlijkse investering van €6.000 in dat proces. In lage, middelhoge en hoge scenario's voorkomt het jaarlijks twee, vijf of acht uur uitval. Bij €2.000 bijdrage per uur is het jaarlijkse saldo voor 2027, 2028 en 2029 respectievelijk min €2.000, plus €4.000 of plus €10.000. De bedragen blijven bewust constant; we veronderstellen geen grotere aanvallen of omzetgroei om het model aantrekkelijker te maken.
Deze berekening bevat geen schade aan gegevens of reputatie. Zij toont alleen de continuïteitswaarde. Een negatief saldo op die beperkte maatstaf is daarom geen reden om noodzakelijke beveiliging achterwege te laten.
Onze eerdere analyse ging over de beslissing om tijdelijk te sluiten. Nu de updates beschikbaar zijn, ligt het bewijs bij de heropening: passende reparatie, gecontroleerde werking en waar nodig onderzoek naar de eerdere periode. Alleen weer bereikbaar zijn is een begin, geen volledige bevestiging van herstel.
Opmerkingen