FAQ! Alles wat je moet weten over het wereldwijde PHP-lek

Wat is PHP eigenlijk?

PHP is een programmeertaal die achter de schermen van websites draait. Je ziet het als bezoeker niet, maar het zorgt ervoor dat een pagina wordt opgebouwd: je winkelmandje, een contactformulier, de laatste nieuwsberichten. Populaire systemen zoals WordPress en Drupal zijn ermee gebouwd. Volgens VRT draait meer dan 70% van alle websites op PHP.

Wat is er mis?

In PHP zaten twee fouten waarmee een hacker van buitenaf een server kon overnemen. Experts noemen ze samen “PHP2Shell”. Een update dicht ze, maar servers die nog niet bijgewerkt zijn, blijven kwetsbaar.

Vergelijk een website met een winkel en PHP met het slot op de achterdeur. Het probleem zit niet in één winkel, maar in het slot dat bijna iedereen gebruikt. Wie weet hoe dat slot opengaat, kan overal binnen.

Waarom gingen zoveel sites offline?

De details lekten uit voordat er een oplossing was. Normaal wordt een lek pas bekendgemaakt als de update klaarstaat. Deze keer wisten hackers waar ze moesten zoeken terwijl websitebeheerders nog niets konden doen. Veel organisaties trokken daarom uit voorzorg de stekker uit hun site.

In België ging het onder meer om Smartschool, FOD Financiën, eID, VDAB, UZ Gent, UZA, AZ Oostende, Stad Gent en de sites van DPG Media.

Tijdlijn

• 20 oktober: PHP kondigt een dringende update aan. Details over de lekken raken uitgelekt via sociale media, terwijl de bekendmaking pas voor 22 oktober gepland stond.
• 21 oktober, ochtend: sites gaan uit voorzorg offline, Cloudflare meldt eerste aanvalspogingen.
• 21 oktober, 16 uur: PHP brengt de beveiligingsupdate uit voor PHP 8.2 en nieuwer.

Hoe gevaarlijk is het?

Wat kan een hacker ermee doen?

In het slechtste geval neemt een hacker de server over waarop een website draait. Hij kan dan de site platleggen, gegevens stelen of eigen code toevoegen.

Dat laatste maakt het ook gevaarlijk voor bezoekers. Een hacker kan via een betrouwbare site schadelijke software verspreiden. Wie die site vertrouwt, haalt zonder het te weten malware binnen.

Waarom is dit lek zo ernstig?

• Het kan zonder inloggen. Eén verzoek naar de website kan volstaan om de aanval te starten.
• Het maakt niet uit hoe goed je site gebouwd is. De fout zit in PHP zelf, niet in de code van je website.
• Bijna alle versies zijn geraakt. Mogelijk gaat het om alle PHP-versies vanaf PHP 5.
• AI maakt hackers sneller. De aanval was complex om te bouwen, maar AI verlaagt die drempel sterk. De tijd tussen een update en de eerste aanvallen wordt korter.

Wordt het lek al misbruikt?

Er zijn pogingen, maar voorlopig geen bevestigde inbraken. Cloudflare en beveiligingsbedrijf watchTowr zagen op 21 oktober hackers die het lek probeerden te misbruiken, sommigen al voor de update er was. Het Centrum voor Cybersecurity België (CCB) had geen weet van incidenten in België. Experts verwachten wel meer aanvallen in de komende dagen, nu de update en de technische details openbaar zijn.

Is het probleem opgelost nu de update er is?

Voor een groot deel. Veel hosters installeerden de update nog op 21 oktober, en steeds meer sites staan weer online, waaronder Smartschool en de sites van DPG Media. Smartschool meldt dat er geen gegevens gestolen zijn. Elke server die de update nog niet kreeg, blijft wel een doelwit: hackers bestuderen de update om te achterhalen waar de fout precies zat.

Veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder komt geen gewone update meer. Het PHP-team bracht wel noodpatches uit voor PHP 7.4, 8.0 en 8.1, maar die moet je hoster zelf inbouwen. Sites op zo'n oude versie blijven daardoor het langst kwetsbaar.

Sommige hostingpartijen bouwen de fix wel zelf in oudere versies in. Combell meldt bijvoorbeeld dat het de patches heeft overgezet naar oudere PHP-versies, tot en met PHP 5.6. Vraag dus aan je hoster of jouw server beschermd is, ook als je site op een oudere PHP-versie draait.

Wat betekent dit voor mij?

Ik bezoek gewoon websites. Moet ik me zorgen maken?

Het lek zit op de servers van websites, niet op je eigen computer of smartphone. Toch blijf je best waakzaam. Een hacker kan een site die nog niet beveiligd is, uitbreiden met eigen code. Ook een site die je vertrouwt, kan dan onbetrouwbare dingen doen: je login onderscheppen en doorsturen, of je malware laten downloaden.

Daarom raden we aan:

• Zet tweestapsverificatie aan waar het kan.
• Gebruik voor elke site een uniek wachtwoord.
• Download of installeer even niets op je laptop of pc als je het kan vermijden.
• Hou je toestel en virusscanner up-to-date, zoals altijd.

Ik heb een website. Ben ik getroffen?

Als je website op PHP draait en de update nog niet geïnstalleerd is: ja. Dat geldt voor de meeste systemen waarmee websites en webshops gebouwd worden, zoals Magento, Craft CMS, Laravel, Akeneo of WordPress. Het maakt niet uit of je site groot of klein is.

Het grootste risico zit bij kleinere sites. Grote organisaties zitten er nu bovenop. Een kleine webshop waarvan niemand de server opvolgt, blijft kwetsbaar zolang niemand ingrijpt.

Mijn site of webshop is maatwerk. Geldt dit ook voor mij?

Ja, als hij op PHP draait. Het lek zit in PHP zelf, niet in het systeem dat erop gebouwd is. Of je site nu met een bekend CMS of volledig op maat gebouwd is: zolang de server niet bijgewerkt is, blijft hij kwetsbaar.

Zijn koppelingen met mijn andere systemen ook in gevaar?

Mogelijk. Veel websites zijn gekoppeld aan een ERP, CRM of boekhoudpakket. Daarvoor bewaart de server toegangssleutels. Wie een server overneemt, kan die sleutels in principe inkijken.

Na de update hoort daarom ook de vraag: moeten de sleutels van die koppelingen voor de zekerheid vervangen worden? Bekijk dat samen met je websitebeheerder.

Moet ik mijn CMS of webshop zelf updaten?

Dat helpt hier niet. De fout zit in PHP, de motor onder je CMS of webshop. Die motor moet bijgewerkt worden, meestal door je hostingpartij of websitebeheerder. Een update van je CMS, extensies of een beveiligingsplugin lost dit lek niet op.

Mijn site draait op HubSpot. Moet ik iets doen?

Nee. Sites op HubSpot CMS draaien niet op een PHP-server die jij of je bureau beheert. Het onderhoud van die servers ligt bij HubSpot zelf.

Is mijn site al gehackt?

Dat is van buitenaf moeilijk te zien. Signalen om op te letten:

• onbekende beheerdersaccounts in je CMS
• bezoekers die naar een andere site doorgestuurd worden
• nieuwe bestanden of pagina’s die je niet kent
• een melding van Google of je hoster over verdachte inhoud

Zie je iets vreemds? Laat het nakijken. Een update sluit de deur, maar zet een hacker die al binnen is niet buiten.

Mijn site was of is offline

Waarom was mijn site offline?

Uit voorzorg. Verschillende hostingpartijen en websitebeheerders haalden sites tijdelijk offline tot de update geïnstalleerd was. Liever een paar uur onbereikbaar dan een overgenomen server. Andere hosters plaatsten een tijdelijke eigen beveiliging en hielden sites online.

Waarom is mijn site nog altijd offline?

Waarschijnlijk draait je site op een oude PHP-versie. Voor PHP 8.2 en nieuwer is de update er sinds 21 oktober, 16 uur, en de meeste van die servers zijn intussen bijgewerkt. Voor PHP 8.1 en ouder bestaat geen gewone update.

Dan zijn er drie wegen:

• Wachten op een noodpatch van de hostingpartij, als die er komt.
• Upgraden naar een nieuwere PHP-versie, als je site daarmee overweg kan.
• Verhuizen naar een nieuwe server, als je site te oud is om zomaar te upgraden.

Welke weg past, hangt af van hoe oud je site is. Je websitebeheerder kan je dat vertellen.

Wat moet ik nu doen?

Ik heb een website. Wat kijk ik nu best na?

1. Check of je site bijgewerkt is. Vraag je hoster of websitebeheerder of de PHP-update geïnstalleerd is. Bij de meeste hosters is dat intussen gebeurd.
2. Draait je site op PHP 8.1 of ouder? Plan een oplossing. Voor die versies bestaat geen gewone update. Bespreek met je websitebeheerder of een upgrade of een verhuis naar een nieuwe server nodig is.
3. Laat nakijken of er niets gebeurd is. De update sluit de deur, maar zet een indringer die al binnen was niet buiten. Let op onbekende accounts, doorverwijzingen en nieuwe bestanden.
4. Vernieuw waar nodig de sleutels van je koppelingen. Is je site gekoppeld aan een ERP, CRM of boekhoudpakket? Vraag je websitebeheerder of die toegangssleutels voor de zekerheid vervangen moeten worden.
5. Zet je campagnes en nieuwsbrieven weer aan. Controleer of gepauzeerde of afgekeurde advertenties opnieuw lopen nu je site terug online is.
6. Vergeet je andere sites niet. Denk aan een oude campagnesite, een intranet of een testomgeving.

Ik weet niet wie mijn website beheert. Wat nu?

Begin bij je factuur: wie betaal je voor hosting of onderhoud? Dat is meestal je aanspreekpunt. Vind je niemand, dan is dit een goed moment om dat te regelen. Een website zonder onderhoud is zoals een auto zonder onderhoud: het gaat lang goed, tot het niet meer goed gaat.

Waarom draaien sommige sites nog op oude versies?

Omdat een site die werkt zelden aandacht krijgt. Elke PHP-versie krijgt maar enkele jaren beveiligingsupdates. Een site die al jaren niet bijgewerkt is, draait vaak op een versie die niet meer beschermd wordt, zonder dat iemand het merkt.

Upgraden kost tijd en geld, en je ziet het resultaat niet. Tot een lek als dit opduikt: dan is de vraag niet meer of je bijwerkt, maar hoe snel. Een site die regelmatig bijgewerkt wordt, is na zo'n update snel weer veilig. Een site die jaren stilstond, vraagt soms een volledige verhuis.