Soms is de website dichtgooien goedkoper dan te laat bijwerken
In het kort
Het PHP-team heeft een beveiligingsrelease voor twee kritieke kwetsbaarheden aangekondigd. Een waarschuwing voor kwetsbare software bewijst niet dat een website is gehackt. Ondernemingen moeten wel weten wie de gebruikte software bijwerkt en hoe snel dat kan. Een korte, gecontroleerde onderbreking kan goedkoper zijn dan een langere uitval na misbruik.
Een website offline halen voelt voor een ondernemer als verlies nemen. Klanten kunnen niet bestellen, afspraken vallen stil en medewerkers moeten uitleg geven. Toch kan dat in een beveiligingsincident de rationele keuze zijn. De relevante vergelijking is niet tussen openblijven en niets verliezen, maar tussen verschillende risico's met verschillende gevolgen.
Het PHP-securityteam kondigde op 20 oktober een release aan voor woensdag 21 oktober om 14.00 uur UTC, oftewel 16.00 uur Nederlandse tijd. Die moet twee kwetsbaarheden met ernstscore 9,2 volgens CVSS 4.0 verhelpen. In die aankondiging zouden details, getroffen versies en gerepareerde versies tegelijk met de release volgen. De aankondiging zelf bevestigt dus nog niet welke update op een specifieke server is geïnstalleerd.
Die precisie is belangrijk. Een melding over PHP kan gemakkelijk veranderen in de veel grotere claim dat een nieuwswebsite of webshop is gehackt. Dat volgt er niet uit. Tijdelijk uitschakelen kan juist een voorzorgsmaatregel zijn, bedoeld om misbruik te voorkomen voordat meer technische details openbaar worden.
Inhoud van dit artikel
De software onder een website is niet hetzelfde als de website zelf
PHP is software waarmee servers onder meer dynamische webpagina's en applicaties kunnen uitvoeren. Een ondernemer ziet meestal zijn webshop of beheersysteem, terwijl een hostingbedrijf een deel van de onderliggende omgeving beheert. Daardoor kan onduidelijk zijn wie een beveiligingsprobleem daadwerkelijk moet oplossen.
Een bijgewerkt contentmanagementsysteem is niet automatisch bewijs dat ook de PHP-versie eronder veilig is. Andersom kan een serverupdate aanpassingen in de applicatie vereisen. De praktische opdracht is daarom een gecontroleerde keten: vaststellen wat wordt gebruikt, de relevante leveranciersinformatie lezen, bijwerken en controleren of de dienst daarna correct functioneert.
De Nederlandse hostingprovider Mijndomein publiceerde eigen informatie over de kwetsbaarheden en de gevolgen voor zijn omgeving. Zulke leveranciersmeldingen zijn voor klanten bruikbaarder dan een algemene lijst met versienummers: ze koppelen de waarschuwing aan de dienst die zij daadwerkelijk afnemen.
De verantwoordelijkheid blijft daarbij gedeeld. Een beheerder moet niet verwachten dat de ondernemer een beveiligingslek technisch kan analyseren. De ondernemer moet wel weten welke partij aanspreekbaar is, welke dienstverlening is afgesproken en hoe een urgente wijziging wordt uitgevoerd. Juist tijdens een incident is het te laat om voor het eerst uit te zoeken wie toegang heeft.
Omzetverlies is niet hetzelfde als schade aan de winst
Een fictieve webshop draait €10.000 omzet per uur. Na inkoop, betaling en andere direct vermijdbare kosten blijft 25% bijdrage over. Een geplande sluiting van vier uur betekent dan maximaal €10.000 gemiste bijdrage wanneer geen enkele bestelling later terugkomt. Dat is veel geld, maar geen €40.000 winstverlies.
Komt de helft van de bestellingen later alsnog binnen, dan daalt de gemiste bijdrage naar €5.000. Daar kunnen wel extra arbeidskosten of een vergoeding aan klanten bij komen. Dit zijn aannames, geen schatting van de schade bij een concreet getroffen bedrijf.
Een ernstig incident kan veel langer doorwerken. Naast herstel spelen onderzoek, vervanging van systemen en eventueel juridische verplichtingen. Maar ook die kosten zijn niet bij iedere kwetsbaarheid hetzelfde. Een beveiligingswaarschuwing is geen bewijs dat al die schade zal ontstaan. Goede besluitvorming vergelijkt de verwachte gevolgen, zonder ze als zekerheid te presenteren.
De lastige vraag is hoeveel risico een korte sluiting wegneemt
Stel dat een gecontroleerde onderbreking €10.000 kost en een ernstig incident in een eigen scenario €250.000 schade oplevert. De onderbreking is financieel gerechtvaardigd als zij de kans op dat incident met meer dan vier procentpunt verlaagt. Dat volgt uit €10.000 gedeeld door €250.000. Het is geen vastgestelde kans op misbruik van PHP en ook geen maatstaf die alle niet-financiële gevolgen omvat.
Deze omgekeerde rekensom helpt vooral om te voorkomen dat de onmiddellijk zichtbare kosten alle aandacht krijgen. De omzet die tijdens onderhoud niet binnenkomt, is gemakkelijk te tellen. De schade die is voorkomen, blijft onzichtbaar. Daardoor kan een organisatie structureel te laat investeren in beheer.
De sterke tegenwerping is dat haastige updates ook uitval kunnen veroorzaken. Een wijziging kan een betaalpagina of koppeling verstoren. Daarom is snelheid alleen onvoldoende. Een herstelkopie, een geteste update en controle op kritieke functies verminderen het risico dat beveiliging en bereikbaarheid tegen elkaar worden uitgespeeld. Wat mogelijk is, hangt af van de tijdsdruk en de concrete omgeving.
Voor een ondernemer hoeft dat geen technisch projectplan te worden. Een heldere afspraak kan volstaan: wie beslist, wie voert uit, welke cruciale handeling wordt getest en wanneer volgt een statusbericht? Dat voorkomt dat meerdere partijen op elkaar wachten terwijl de kwetsbaarheid bekend is.
Goed beheer levert een meetbare opbrengst op
De waarde van onderhoud wordt zichtbaarder in een meerjarenvergelijking. Neem een fictief beheerbudget van €12.000 per jaar. In lage, middelhoge en hoge scenario's voorkomt beter beheer jaarlijks twee, zes of twaalf uur definitief productieverlies. De bijdrage per uur is in 2027 €2.500 en groeit daarna met 3% per jaar. De visual toont voor ieder jaar de vermeden bijdrage minus het beheerbudget.
Bij twee uur vermeden uitval verdient die voorziening zichzelf op dit ene voordeel niet terug. Bij zes of twaalf uur wel. Dat is geen argument om basisbeveiliging achterwege te laten wanneer de som negatief uitvalt. Het model bevat geen mogelijke schade aan gegevens, verplichtingen tegenover klanten of kosten van herstel. Het geeft een begrensde vergelijking van continuïteit en beheerkosten.
De publicatie van technische details en herstelversies kan de situatie snel veranderen. Voor een concrete website is daarom de bevestiging van de eigen beheerder doorslaggevend: welke versie draait er, welke maatregel is toegepast en is de werking daarna gecontroleerd? Een algemene geruststelling dat alles automatisch wordt bijgewerkt is minder sterk dan aantoonbare uitvoering.
Het nieuws rond PHP laat vooral zien hoe afhankelijk digitale omzet is van onderhoud dat klanten nooit zien. Tijdelijk sluiten kan een verstandige zakelijke beslissing zijn. Het bewijs van goed beheer is niet dat een onderneming nooit onderhoud nodig heeft, maar dat zij snel, gecontroleerd en met begrijpelijke communicatie kan ingrijpen.
Opmerkingen