Reflecties op de PHP-beveiligingsupdates van 21 oktober 2026

Ons bedrijf werkt met volwassen open-sourcetechnologieën die iedereen kan controleren en auditen, en we zijn voortdurend bezig met de beveiliging en operationele continuïteit van de applicaties die we aan onze klanten leveren. Deze technologieën zijn echter allesbehalve foutloos, daarom besteden we tijd en middelen aan het verwerken van beveiligingsupdates voor de technologieën die we gebruiken.

Op 21 oktober 2026 zijn noodpatches uitgebracht voor twee kritieke kwetsbaarheden in PHP, die overeenkomen met de beveiligingsadviezen CVE-2026-109618 en CVE-2026-109619. CVE staat voor “Common Vulnerabilities and Exposures” en is een catalogus van publiekelijk bekende beveiligingskwetsbaarheden in softwaretoepassingen en hardwarecomponenten.

We werden op woensdag om 11:40 uur op de hoogte van deze informatie en hebben onmiddellijk een melding naar al onze klanten gestuurd over het risico. We hebben de volgende maatregelen genomen, op geschatte tijdstippen:

11:45 CLST / 14:45 UTC: Massale update van PHP en andere tools op alle publieke servers die informatie van onze klanten bevatten en onder onze controle staan. Op Rocky Linux-servers is geüpdatet naar PHP 8.5.12, op Ubuntu Linux-servers naar 8.5.4-0ubuntu1.5.

12:00 CLST / 15:00 UTC: Herstart van alle publieke servers die informatie van onze klanten bevatten en onder onze controle staan, met een serviceonderbreking van 15 minuten.

15:00 CLST / 18:00 UTC: Het onderzoek van alle applicatielogs, verzameld via onze monitoringdiensten, is op dat moment gestart en op 30 oktober 2026 afgerond, zonder aanwijzingen voor beveiligingsproblemen.

De serviceonderbrekingen kwamen in totaal op 30 minuten: 15 minuten voor de PHP-update en 15 minuten voor de update van de applicaties.

De platforms die we ontwikkelen draaien achter een Web Application Firewall die per site alleen een geldige dataset toestaat, waardoor het aanvalsoppervlak kleiner wordt. De belangrijkste bescherming tegen dit soort beveiligingsfouten is echter de softwareupdate, die voor 100% is toegepast. We passen ook beveiligingsupdates toe op de applicaties die op PHP draaien, met een berekende uitvaltijd van 15 minuten. Deze update wordt periodiek en geautomatiseerd uitgevoerd, maar we hebben de middelen om hem handmatig uit te voeren en de resultaten te controleren.

Slechts één dienst bleef langer dan nodig niet beschikbaar, omdat de organisatie die deze beheert eigen beleid voor het bewaren van informatie heeft. Desondanks heeft de audit van deze dienst ook geen geslaagde exploitatiepogingen opgeleverd.

Ons bedrijf blijft zich inzetten voor het ontwikkelen van uitstekende producten en diensten voor onze klanten. Voor vragen kunt u ons altijd bereiken via onze institutionele kanalen.