Woensdag 21 oktober was voor veel organisaties een zenuwslopende dag. Door een ernstig PHP-lek gingen wereldwijd duizenden websites uit voorzorg offline: overheidssites, ziekenhuizen, onderwijsplatforms, mediabedrijven. Zelfs de website van het Nationaal Cyber Security Centrum ging tijdelijk uit de lucht.
Bij PONCK bleven alle websites die wij beheren online. Niet omdat wij slimmer waren dan anderen, maar omdat onze hostingpartner Hoasted vroeg ingreep, helder communiceerde en de paniek voor was. Nu de storm is gaan liggen, zetten we op een rij wat er gebeurde en wat je ervan kunt leren.
Wat was er aan de hand?
PHP is de programmeertaal waarop het overgrote deel van het web draait, waaronder elke WordPress-website. Op 20 oktober maakte het PHP-team bekend dat er twee kritieke kwetsbaarheden in de taal zelf zaten (CVE-2026-109618 en CVE-2026-109619, inmiddels bekend als ‘PHP2Shell’). Via die lekken konden aanvallers zonder in te loggen hun eigen code uitvoeren op een webserver. Alle PHP-versies vanaf versie 5 waren kwetsbaar.
Wat het extra spannend maakte: details lekten uit vóórdat de beveiligingsupdate beschikbaar was, en er dook al snel aanvalscode op. Het NCSC adviseerde website-eigenaren om zelf een risicoafweging te maken en hun site eventueel preventief offline te halen. Veel organisaties, en ook verschillende hostingproviders, kozen voor die veilige maar ingrijpende route.
Wat onze hostingprovider anders deed
Al onze websites draaien bij Hoasted. Daar zagen we de afgelopen dagen een aanpak die we graag delen, omdat hij laat zien wat ‘goede hosting’ in een crisis betekent.
Beschermen vóórdat de patch er was. Nog vóór de officiële PHP-update rolde Hoasted op woensdagochtend tijdelijke beveiligingsmaatregelen uit op alle servers: eigen firewallregels, het uitschakelen van een PHP-functie waarlangs een van de bekende aanvalsroutes liep, en extra beveiligingsregels die de rondgaande aanvalsmethoden blokkeerden. Eerst getest, daarna server voor server ingevoerd.
Een duidelijk advies, ook als dat tegen de stroom in ging. Terwijl de media vol stonden met websites die offline gingen, gaf Hoasted een onderbouwd advies: offline halen is met deze maatregelen niet nodig. Wie toch geen enkel risico wilde lopen, kreeg een eenvoudige uitleg hoe dat kon. Die combinatie van een duidelijk standpunt en ruimte voor een eigen keuze werkte geruststellend.
Communicatie in gewone taal. Op de statuspagina verscheen de ene na de andere update: wat er speelde, waar ze op wachtten, wat klanten konden merken. Bijna elke update eindigde met dezelfde zin: je hoeft zelf niets te doen. Toen een eerdere update achteraf niet klopte, volgde gewoon een correctie. Dat is precies hoe je vertrouwen opbouwt.
Ook oudere PHP-versies beschermd. Websites op oudere PHP-versies krijgen van het PHP-team zelf geen updates meer. Hoasted zorgde dat ook die versies de beveiligingsfix kregen, en controleerde per server of de fix er echt in zat, niet alleen of het versienummer klopte.
Online, maar niet zonder impact
Eerlijk is eerlijk: de tijdelijke maatregelen hadden een prijs. Websites waren een dag wat trager, grote uploads via een website werkten tijdelijk niet en de supportafdeling had (begrijpelijk) een langere reactietijd. Donderdag 22 oktober waren alle servers gepatcht en werden alle maatregelen teruggedraaid.
Voor onze klanten betekende dat: geen offline website, geen gemiste aanvragen of bestellingen, en geen paniekerige telefoontjes. Wij konden hen vanaf het begin informeren met concrete, betrouwbare informatie, omdat die er gewoon was.
Wat dit PHP-lek ons leert over veilige hosting
Dit was niet het laatste grote beveiligingslek. Integendeel: de tijd tussen het ontdekken van een kwetsbaarheid en het misbruik ervan wordt steeds korter. Een paar lessen die we willen meegeven:
- Hosting is onderdeel van je beveiliging. Je website kan nog zo goed onderhouden zijn, als je server kwetsbaar is, is jouw organisatie kwetsbaar. Kies een partij die proactief beveiligt, niet alleen reageert.
- Communicatie is net zo belangrijk als techniek. In een crisis wil je weten waar je aan toe bent. Heeft jouw hoster een statuspagina? Kreeg je de afgelopen dagen heldere updates, of moest je het uit het nieuws halen?
- Draai je nog op een oude PHP-versie? Plan een upgrade. PHP 8.1 en ouder krijgen geen officiële beveiligingsupdates meer. Een overstap naar PHP 8.3 of nieuwer is verstandig, maar doe dat op een rustig moment en test je website daarna goed.
- Vraag door bij je provider. Is de beveiligingsupdate daadwerkelijk geïnstalleerd op alle servers, of alleen ingepland? Een goede hoster kan dat gewoon bevestigen.
Overweeg je een overstap?
We merken dat veel organisaties zich na deze week afvragen of hun huidige hosting nog past. Dat is een terechte vraag. Overstappen naar een andere hostingprovider hoeft geen gedoe te zijn, mits het goed wordt voorbereid: met een volledige back-up, een testomgeving en een zorgvuldige overzetting van domein en e-mail, zodat je website zonder (merkbare) downtime verhuist.
Website verhuizen of migreren? Neem vrijblijvend contact op. We kijken graag met je mee naar je huidige situatie en wat een overstap voor jou betekent.
