PHP-kwetsbaarheden: Onze aanpak
Geplaatst in categorie: BlogGeschreven door
Staat elke dag op de barricades voor een inclusiever internet.
Inhoudsopgave
PHP-kwetsbaarheden: Onze aanpak
Op dinsdag 20 oktober 2026 bevestigde PHP twee kritieke kwetsbaarheden. Op woensdag 21 oktober hebben we op alle hostingomgevingen die wij beheren tijdelijke maatregelen genomen en dezelfde avond de beveiligingsupdate geïnstalleerd. De kwetsbaarheden zijn op al onze omgevingen verholpen en alle tijdelijke maatregelen zijn opgeheven. Op deze pagina lees je hoe we het hebben aangepakt.
Inhoudsopgave
Welke maatregelen we namen
De beveiligingsupdate van PHP werd op woensdag 21 oktober om 16.00 uur verwacht. Omdat de kwetsbaarheden al eerder publiek bekend waren, wilden we het risico tot dat moment zo klein mogelijk houden. Daarom namen we tijdelijke voorzorgsmaatregelen, in vaktermen mitigaties: maatregelen die het risico beperken totdat de echte oplossing beschikbaar is.
Concreet blokkeerden we verzoeken van het type multipart/form-data op onze NGINX-webservers. Daardoor bereikten deze verzoeken PHP niet en beperkten we de mogelijkheden voor misbruik. We pasten de mitigaties toe op alle omgevingen, zodat elke omgeving op dezelfde manier beschermd was.
Wat klanten ervan merkten
Websites bleven in principe gewoon bereikbaar voor bezoekers. Functies die gebruikmaken van multipart/form-data-verzoeken werkten tijdelijk niet, zoals het uploaden van afbeeldingen en documenten in WordPress en het versturen van bepaalde formulieren. Deze verzoeken kregen een foutmelding met statuscode 403.
Sommige organisaties kozen ervoor hun website tijdelijk volledig offline te halen. Door de mitigaties zagen wij daar voor onze omgevingen geen noodzaak voor. Op verzoek van een aantal opdrachtgevers hebben we hun website wel tijdelijk offline gehaald.
Hoe we de update hebben uitgevoerd
Zodra de update beschikbaar was, hebben we die per omgeving geïnstalleerd en gecontroleerd of alles goed werkte. Daarna verwijderden we de mitigaties en lieten we klanten per mail weten dat de werkzaamheden waren afgerond. Websites die offline waren gehaald, hebben we na akkoord van de klant weer online gezet. Op woensdagavond 21 oktober waren alle omgevingen bijgewerkt.
Wat we hiervan meenemen
Dit soort kwetsbaarheden zal vaker voorkomen. Daarom kijken we niet alleen naar hoe we snel kunnen patchen, maar ook naar hoe je bezoekers blijft helpen als een website tijdelijk niet of beperkt werkt. Daarover schreef onze collega Niels het artikel “Offline door een kwetsbaarheid? Waarom een leeg foutscherm een gemiste kans is“.
Vragen?
Heb je vragen over je platform? Neem contact op met je vaste contactpersoon bij Level Level of met ons supportteam.
Geschreven door
Staat elke dag op de barricades voor een inclusiever internet.