PHP2Shell-lek: zo hebben wij jouw website gisteren beschermd

Gisteren, woensdag 21 oktober, werd het internet opgeschrikt door twee kritieke lekken in PHP. Grote sites als Tweakers, RTL Nieuws en DigiD gingen uit voorzorg offline. Ook bij Suite Seven hebben we een lange dag gemaakt. Het goede nieuws: sinds 20:30 zijn alle websites van onze klanten weer volledig online en gepatcht. In dit bericht nemen we je mee in wat er precies aan de hand was, wat wij hebben gedaan en waarom we bepaalde keuzes hebben gemaakt.

Wat was er aan de hand?

PHP is de programmeertaal waar onder meer WordPress en WooCommerce op draaien. Ruim twee derde van alle websites wereldwijd maakt er gebruik van. In PHP werden twee ernstige kwetsbaarheden ontdekt (CVE-2026-109618 en CVE-2026-109619), die samen bekend staan als PHP2Shell.
Via deze lekken konden aanvallers in het ergste geval eigen code uitvoeren op een server en zo een website overnemen. De kwetsbaarheden kregen een score van 9,2 op een schaal van 10. Extra lastig: de informatie lekte uit vóórdat de officiële patches klaar waren. Daardoor moest de hele sector schakelen zonder dat er al een definitieve oplossing was.

Zo verliep de dag

• 09:30 – We krijgen de eerste meldingen over het lek binnen. Samen met onze hostingproviders gaan we direct aan de slag met extra beveiligingsmaatregelen, op basis van wat er op dat moment bekend is.
• Ochtend – Na het doorvoeren van de maatregelen informeren we al onze klanten. Ook op onze eigen website plaatsen we een melding met de actuele status. Met de kennis van dat moment is het niet nodig om websites offline te halen.
• 13:30 – Er komt nieuwe informatie naar buiten over de risico’s. Een van onze hostingpartijen besluit uit voorzorg om de servers vanaf 14:30 tijdelijk offline te halen, totdat de patch is geïnstalleerd en getest.
• Direct daarna – We bellen alle klanten bij wie dit speelt persoonlijk op. Zo weten ze wat er gebeurt en hoe het verdere proces eruitziet.
• 15:45 – De officiële patches worden vrijgegeven. Samen met de hostingproviders downloaden, installeren en testen we ze direct.
• 16:50 – De eerste websites zijn weer online.
• Avond – De officiële update is alleen uitgebracht voor PHP 8.2 en hoger. We gaan daarom aan de slag met het patchen van de oudere versies.
• 20:30 – Ook dat is volledig afgerond. De laatste servers gaan weer online en we laten al onze klanten weten dat het incident is afgesloten.

Waarom ging maar een deel van de websites offline?

Wij werken met meerdere hostingpartijen. Elke partij beoordeelt een kwetsbaarheid op basis van de eigen infrastructuur en de maatregelen die daar al draaien. Gisteren leidde dat tot verschillende keuzes: bij de ene partij een tijdelijke, preventieve offline-periode, bij de andere geen onderbreking.

Beide keuzes waren verantwoord. Offline gaan was geen teken dat die servers minder veilig waren. Het was een bewuste voorzorg, zolang niet zeker was dat de tijdelijke maatregelen genoeg bescherming boden. Sinds de patches zijn alle servers weer even goed beschermd.

We hebben beide partijen de hele dag nauw gevolgd en zijn met ze in gesprek over hoe we zulke situaties in de toekomst nog soepeler laten verlopen.

Korte lijnen maken het verschil

Een incident als dit laat zien hoe belangrijk korte lijnen en betrouwbare partners zijn voor de beveiliging van je website. Doordat we direct met onze hostingproviders konden schakelen, hadden we al binnen een uur na de officiële patches de eerste websites weer online. Dank aan iedereen die gisteren de schouders eronder heeft gezet. En dank aan onze klanten voor hun begrip en vertrouwen.

Vragen over de beveiliging van jouw website?

Wil je weten op welke PHP-versie jouw website draait, of wil je eens sparren over hoe je website er qua beveiliging voor staat? Neem contact met ons op. We denken graag met je mee.