Het PHP-lek van 21 oktober: wat er gebeurde en hoe we je website beschermen

Op 21 oktober werd wereldwijd een ernstig beveiligingslek in PHP gemeld. Eerst het goede nieuws: alle websites die comma beheert, zijn veilig en draaien weer normaal. In deze blog leggen we uit wat er gebeurde, hoe we ingrepen en hoe we je website voortaan nog beter beschermen.

Wat is PHP, en waarom raakte dit zoveel websites?

PHP is de technologie achter een groot deel van alle websites, van WordPress en Drupal tot webshops en klantenportalen. Ze zorgt ervoor dat je site pagina's opbouwt, formulieren verwerkt en met een database praat.

Omdat zoveel sites op PHP draaien, treft een lek in PHP miljoenen websites tegelijk. Zodra zo'n lek publiek bekend is, gaan kwaadwilligen er actief naar op zoek. Snel handelen is dan cruciaal.

Wat we deden, in 4 stappen

1. Melding: het lek werd bekendgemaakt voor er een officiële oplossing bestond. Elke website op PHP liep dus een mogelijk risico.
2. Voorzorg: we haalden de websites op PHP meteen tijdelijk offline. Een site die offline staat, kan niet misbruikt worden. Liever enkele uren onbereikbaar dan een gehackte website.
3. Oplossing: zodra de beveiligingsupdate beschikbaar was, installeerden we die op elke site.
4. Controle: we hebben elke site grondig nagekeken voor we ze opnieuw live zetten. We zagen geen tekenen van misbruik.

Was jouw website niet betrokken? Dan hoef je niets te doen. Is er voor jouw site extra werk nodig, dan krijg je van ons een aparte mail.

Waarom updates je beste verzekering zijn

Een website is nooit echt af. Elke maand verschijnen er updates voor PHP, voor je CMS en voor de modules die je site gebruikt. Vaak dichten ze net een lek dat intussen publiek bekend is.

Wie updates laat liggen, bouwt een achterstand op. Hoe groter de sprong later, hoe meer werk en hoe groter de kans dat er iets misloopt. Kleine, regelmatige updates zijn dus veiliger en voordeliger.

Zo pakken we het voortaan aan

Lekken in veelgebruikte software duiken steeds vaker op. Daarom maken we van websiteveiligheid een vaste routine, zodat jij er geen omkijken naar hebt.

• Altijd up-to-date: we volgen alle updates op en bundelen ze in twee onderhoudsbeurten per jaar.
• Eerst getest, dan live: elke update testen we op een kopie van je site, zodat alles blijft werken.
• Snel schakelen: bij een nieuw lek ligt ons actieplan klaar en grijpen we meteen in.

• Helder vooraf: je krijgt een mail met wat we plannen.

   

Wat je zelf kan doen

Een veilige website is teamwerk. Met deze drie gewoontes help je mee:

• Gebruik een sterk, uniek wachtwoord voor de beheeromgeving van je site en zet tweestapsverificatie aan waar dat kan.
• Geef enkel toegang aan wie het echt nodig heeft en verwijder oude gebruikers.
• Merk je iets vreemds op je site? Laat het ons meteen weten.