Stel: je runt een installatiebedrijf met twaalf man. Vijf jaar geleden heb je een nette website laten bouwen, met een offerteformulier dat nog steeds aanvragen oplevert. Aan website onderhoud heb je sindsdien eigenlijk niet meer gedacht. Hij doet het toch?

Vorige week bleek dat ‘hij doet het toch’ geen plan is. Door twee ernstige lekken in PHP, de techniek onder een groot deel van alle websites, gingen in Nederland sites van overheden en andere organisaties tijdelijk offline. Zit jouw site op WordPress of een vergelijkbaar systeem, dan ging dit nieuws ook over jou. En dus over je website onderhoud: wie zorgt er eigenlijk voor dat die techniek bijblijft?

Wat er gebeurde met het PHP-lek

Op woensdag 21 oktober meldde het Nationaal Cyber Security Centrum (NCSC) twee kritieke kwetsbaarheden in PHP. Via die lekken konden aanvallers op afstand systemen overnemen. Het NCSC haalde uit voorzorg zelfs zijn eigen website even uit de lucht, net als verschillende overheidsorganisaties.

Inmiddels zijn er updates: PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12 dichten de lekken. Voor oudere versies (7.4 tot en met 8.1) bestaan alleen nog minimale noodpatches, want die versies krijgen geen reguliere ondersteuning meer.

Het goede nieuws: volgens het NCSC is misbruik lastiger dan eerst gedacht en was er op 23 oktober nog geen geslaagde aanval bevestigd. Maar let op. NCSC-directeur Matthijs van Amelsfort waarschuwt op Onderneming.nl dat de gevolgen van verouderde software nog maanden kunnen doorwerken, ook voor kleine bedrijven.

Wat betekent dit voor jou als ondernemer?

Kort gezegd: een WordPress- of pluginupdate lost dit niet op. PHP draait een laag dieper, op de server van je hoster. Je kunt in je dashboard dus alles netjes groen hebben staan en tóch op een kwetsbare versie draaien.

Dat is geen reden voor paniek. Bij veel hostingpartijen is de update allang doorgevoerd. Maar ‘veel’ is niet ‘allemaal’, en je wilt het zeker weten in plaats van hopen.

Daarnaast laat dit lek iets groters zien. Een website is geen folder die je één keer drukt. Het is software, en software veroudert. Het NCSC wijst er bovendien op dat AI het voor aanvallers makkelijker maakt om lekken snel te misbruiken. De tijd tussen ‘lek bekend’ en ‘lek misbruikt’ wordt dus korter.

Waarom dit meer is dan een technisch probleem

Want wat staat er eigenlijk op het spel? Je offerteformulier verzamelt namen, adressen en telefoonnummers van klanten. Valt dat in verkeerde handen, dan heb je niet alleen een IT-probleem, maar ook een privacyprobleem en een vertrouwensprobleem.

En een site die offline gaat, levert niks op. Geen aanvragen, geen bestellingen, geen telefoontjes. Juist voor een bedrijf dat draait op mond-tot-mond en Google is dat een stille omzetlek waar je pas achter komt als het te laat is.

Het gaat niet alleen om je website

PHP zit ook in andere apparaten, zoals sommige camerasystemen en netwerkschijven die aan internet hangen. Het NCSC benadrukt dat veel eigenaren niet precies weten welke software er allemaal in hun spullen draait. Herkenbaar? Je bent de enige niet. Maar het is wel het moment om even te kijken wat er bij jou allemaal aan het internet hangt.

Website onderhoud slimmer aanpakken: 3 stappen voor deze week

Je hoeft geen IT’er te worden. Maar je moet wel weten wie wat doet. Deze drie stappen kosten je samen hooguit een uur.

1. Stuur je hoster één mailtje

Vraag letterlijk: “Draait mijn website op een PHP-versie waarin de lekken van oktober 2026 zijn gedicht?” Een goede hoster antwoordt binnen een dag met een helder ja en het versienummer. Krijg je vaag geneuzel terug, dan is dat ook een antwoord. Heeft een bureau of freelancer je site gebouwd en beheert die de server? Stel dan hen precies dezelfde vraag.

2. Maak een lijstje van wat er online hangt

Website, webshop, klantportaal, de camera op het bedrijfsterrein, die netwerkschijf in de meterkast. Zet erachter wie het beheert: jijzelf, je hoster, een bureau of ‘geen idee’. Elke ‘geen idee’ is je huiswerk voor volgende week. Dus niet erg, maar wel even oppakken.

3. Spreek vast website onderhoud af

Leg vast wie updates doet, hoe vaak, en wie je belt als het misgaat. Dat kan je hoster zijn, je webbouwer of iemand anders. Het belangrijkste is dat het ergens zwart-op-wit staat, zodat je bij het volgende lek niet hoeft te zoeken naar de neef die ooit je site heeft gebouwd.

Waar awe-some! helpt

Wij bouwen en onderhouden websites, webshops en klantportals voor ondernemers die geen tijd hebben om zelf de techniek bij te houden. Dat betekent: een site die klanten oplevert én technisch bijblijft, zonder dat jij elke kwetsbaarheid hoeft te googelen. Wil je eerst weten waar je nu staat? Dan kijken we samen naar je huidige setup en zeggen we eerlijk of het goed zit. Meer lezen over hoe wij denken over online groei kan op ons blog.

Liever één mailtje nu dan een offline website straks

Het PHP-lek liep deze keer redelijk af. Maar het volgende komt er gegarandeerd aan, en dan is het fijn als je al weet wie de deur op slot doet.

Even sparren over je website? Plan 20 minuten in.