Software heeft een houdbaarheidsdatum.
In oktober 2026 werden twee ernstige lekken in PHP bekend, de programmeertaal onder een groot deel van de websites en webapplicaties. Binnen een dag was er een oplossing, maar alleen voor de versies die de makers nog onderhouden. Voor een bestuurder is de les eenvoudig: een beveiligingsupdate helpt alleen als uw software hem kan ontvangen.
Wat er gebeurde
Op 20 oktober 2026 werden twee lekken in PHP openbaar, samen PHP2Shell genoemd (CVE-2026-109618 en CVE-2026-109619). Iemand van buiten kan daarmee code uitvoeren op een webserver, zonder in te loggen. De ernst is 9,2 op een schaal van 10.
Op 21 oktober bracht het PHP-project een oplossing uit voor de versies 8.2 tot en met 8.5. PHP 8.1 en ouder kregen geen nieuwe versie: die onderhoudt het project niet meer. Hoeveel servers dat raakt, verschilt per telling. In de eigen scan van CybelAngel draaide 54 procent van de websites die hun PHP-versie tonen, op zo'n versie; andere tellingen kwamen hoger uit.
Voor wie niet meteen kon bijwerken, gaven CERT-EU en het Amerikaanse CISA hetzelfde advies. Scherm de toepassing af van het internet, of haal haar offline, tot de oplossing erop staat. Voor een cliëntdossier betekent dat werken zonder systeem.
Het gaat niet alleen om PHP
Elke software draait op een platform, en elk platform heeft een einddatum voor beveiligingsupdates. Zit uw leverancier op een versie die de maker niet meer onderhoudt, dan krijgt ook zijn pakket bij een nieuw lek geen oplossing. Afschermen of uitzetten is dan wat overblijft.
De Cyberbeveiligingswet noemt dit uitdrukkelijk. De zorgplicht gaat ook over het onderhoud van systemen en het omgaan met kwetsbaarheden (NIS2 art. 21 lid 2, onder e). En over uw leveranciers: de beveiliging van de toeleveringsketen (onder d). Het bestuur keurt die maatregelen goed (Cbw art. 24). Wat de wet verder van het bestuur vraagt, staat in ons artikel over de Cyberbeveiligingswet.
Er speelt nog iets. Twee ECD's stoppen eind 2026, een derde eind 2027 (M&I/Partners). Een pakket dat stopt, krijgt ook geen beveiligingsupdates meer. Wie nu een opvolger kiest, kijkt dus ook naar hoe lang het nieuwe pakket meegaat.
Vijf vragen voor uw leverancier
- Op welke versie van het platform draait het pakket, en tot wanneer krijgt die versie beveiligingsupdates van de maker?
- Hoe vaak controleert u uw software op bekende lekken, en wanneer was de laatste controle?
- Wanneer heeft u voor het laatst een onderdeel vervangen omdat het niet meer onderhouden werd?
- Wat doet u als er morgen een lek in uw software wordt gevonden, en hoe hoort onze organisatie dat?
- Hoe ver vooraf hoort u ons wanneer u overstapt op een nieuwe versie van het platform?
Meer vragen voor een overstap staan in de vragen aan uw leverancier en in het programma van eisen voor een overstap. Ze zijn leverancier-neutraal: u kunt ze ook aan ons stellen.
Hoe Curanta het doet
- Elke maand controleren wij het platform op beveiliging. Een beveiligingsupdate brengen wij uit zodra hij nodig is, zonder te wachten op de volgende versie. Elke vier maanden komt er een nieuwe versie.
- Microsoft brengt elk jaar in november een nieuwe versie van .NET uit, de techniek onder Curanta, en wij stappen een paar weken later over. Nu is dat .NET 10, met beveiligingsupdates tot 14 november 2028. De databank is PostgreSQL 18, ondersteund tot november 2030.
- Op 23 oktober 2026 zat er in Curanta geen enkel softwarepakket met een bekend lek, en geen pakket dat de maker niet meer onderhoudt.
- Gaat er toch iets mis? De databank kan terug tot een bepaald tijdstip, en elke dag gaat er een versleutelde kopie naar een plek buiten de server; het terugzetten daarvan is op 28 oktober 2026 met succes geoefend. Uw gegevens staan versleuteld opgeslagen. En bij uitval is er elke dag een versleuteld noodoverzicht.
Wat er bij ons nog niet is
Een externe pentest is nog niet uitgevoerd. Curanta streeft naar NEN 7510-certificering; Curanta is niet gecertificeerd. De stand per onderwerp staat in het Trust Centre, onder Als het toch gebeurt.
Bronnen
- PHP, "Security advisory: Critical remote code execution vulnerabilities, update now", 21 oktober 2026, php.net
- CERT-EU, Security Advisory 2026-018, "Critical Vulnerabilities in PHP", 21 oktober 2026, cert.europa.eu
- CISA, "Critical Vulnerabilities in PHP Require Immediate Patching", 21 oktober 2026, cisa.gov
- CybelAngel, "What We Know About php2shell", 21 oktober 2026, cybelangel.com
- Richtlijn (EU) 2022/2555 (NIS2), art. 21, eur-lex.europa.eu; Cyberbeveiligingswet, BWBR0052872, art. 24, wetten.overheid.nl
- M&I/Partners, ECD-inventarisatie 2026, 10 september 2026, mxi.nl
- Microsoft, .NET Support Policy, dotnet.microsoft.com; PostgreSQL, Versioning Policy, postgresql.org
Ziet u een fout of mist u een bron? Mail info@curanta.nl; wij reageren binnen 1 werkdag en zetten een correctie met datum onder dit artikel.