Wat is er aan de hand?
Er zijn ernstige beveiligingskwetsbaarheden gemeld in bepaalde PHP-omgevingen. PHP wordt onder meer gebruikt door veel WordPress-websites, webshops en maatwerkapplicaties. Welke systemen daadwerkelijk risico lopen, hangt af van de gebruikte PHP-versie, configuratie en software.
Binnen M7 beheren en ondersteunen we ruim 75 klanten met WordPress- of WooCommerce-websites en ruim 90 klanten met Webflow-websites en/of applicaties. We inventariseren welke omgevingen aandacht nodig hebben. Voor WordPress-websites, webshops en PHP-(web)applicaties treffen we waar nodig preventieve maatregelen. Als een kwetsbare omgeving niet voldoende kan worden beschermd, kan het noodzakelijk zijn PHP tijdelijk uit te schakelen. De website of dienst is dan mogelijk tijdelijk offline.
Daarna volgt per getroffen omgeving de technische uitrol: beveiligingsupdates toepassen en waar nodig plug-ins, thema’s, maatwerk en koppelingen aanpassen. Vervolgens testen we zorgvuldig of alles veilig en goed functioneert. Hoe lang het volledige proces duurt, is nog niet bekend.
Een website die volledig op Webflow draait, is doorgaans niet rechtstreeks afhankelijk van PHP. Wel controleren we of er aanvullende code, applicaties of koppelingen zijn die wij voor je hosten of beheren.
Wat wij doen
We pakken dit per klantomgeving zorgvuldig en stapsgewijs aan.
01Inventariseren en beveiligen
We controleren onze WordPress-sites, webshops, PHP-applicaties en overige beheerde omgevingen. Waar nodig beperken we direct het risico, bijvoorbeeld door een kwetsbare website tijdelijk offline te halen. Ook beoordelen we welke Webflow-klanten aanvullende beheerde onderdelen gebruiken.
02Patches en updates uitrollen
We passen de officiële PHP-beveiligingspatches toe op getroffen systemen en werken, waar nodig, de PHP-versie en bijbehorende software bij. Per website of applicatie bepalen we welke technische aanpassingen nodig zijn.
03Compatibel maken en testen
We werken plug-ins, thema’s, webshopfuncties, maatwerk en externe koppelingen bij waar dat nodig is. Daarna testen we onder meer formulieren, betalingen, integraties en automatiseringen voordat we diensten gecontroleerd weer beschikbaar maken.
Veelgestelde vragen
Is deze melding van toepassing op mijn website?
Niet noodzakelijk. Veel WordPress-websites, webshops en PHP-(web)applicaties kunnen wel geraakt worden, maar dat hangt af van de gebruikte versie, inrichting en software. Wij brengen per beheerde omgeving in kaart of maatregelen nodig zijn. Als actie voor jouw website vereist is, hoor je dat van ons.
Ik heb een Webflow-website. Moet ik iets doen?
Voor de meeste klanten met een website die volledig op Webflow draait, is deze specifieke PHP-kwetsbaarheid niet rechtstreeks van toepassing. Je hoeft daar in principe geen actie voor te ondernemen. We informeren je toch graag over wat er speelt. Heb je daarnaast andere code, koppelingen, automatiseringen of applicaties die wij hosten of beheren, dan beoordelen we die onderdelen afzonderlijk. Is jouw actie nodig, dan nemen wij contact met je op.
Waarom kan mijn website tijdelijk offline zijn?
Wanneer een kwetsbare PHP-omgeving niet voldoende kan worden beschermd, kunnen we PHP preventief uitschakelen. Een WordPress-site, webshop of applicatie kan dan tijdelijk niet bereikbaar zijn. We wegen dit per omgeving af en streven ernaar de onderbreking zo kort mogelijk te houden.
Wat betekent dit voor mijn WordPress-website?
Wij beoordelen de gebruikte PHP-versie en de WordPress-omgeving. Na het uitvoeren van de benodigde beveiligingsupdates controleren we ook thema’s, plug-ins, formulieren en maatwerk. Waar een nieuwe PHP-versie nodig is, zorgen we dat de betreffende onderdelen daarmee compatibel worden en testen we de werking.
Wat als ik een webshop heb?
Voor webshops controleren we na de beveiligingsupdates ook bedrijfskritische onderdelen, zoals winkelmandje, afrekenen, betaalproviders, bestelbevestigingen en eventuele voorraad- of verzendkoppelingen. Een kwetsbare webshop kan preventief tijdelijk offline worden gezet. We herstellen de bereikbaarheid gecontroleerd zodra dit verantwoord is.
En mijn applicaties, koppelingen of automatiseringen?
Ook door ons gehoste of beheerde PHP-(web)applicaties, API-koppelingen, scripts en automatiseringen kunnen aandacht nodig hebben. We beoordelen hun afhankelijkheden van PHP, passen waar nodig code of gebruikte bibliotheken aan en testen de gegevensuitwisseling en processen na de update. Als we informatie of actie van jou nodig hebben, laten we dat weten.
Welke werkzaamheden zijn nodig nadat de patch er is?
Een PHP-patch of versie-update is vaak pas de eerste stap. Afhankelijk van de website moeten we ook WordPress, plug-ins, thema’s, maatwerkcode en koppelingen bijwerken of aanpassen en vervolgens alle belangrijke functies testen. Niet elke website heeft hetzelfde werk nodig. We beoordelen en behandelen dit per omgeving.
Zijn er kosten aan verbonden?
Waarschijnlijk wel voor klantomgevingen waar aanvullend technisch werk nodig is. Naast het patchen of bijwerken van PHP moeten we bij veel websites ook plug-ins, thema’s, maatwerk en koppelingen compatibel maken met de veilige PHP-omgeving en de werking zorgvuldig testen. Dat kost tijd en valt niet altijd onder regulier hosting- of serveronderhoud. We informeren je over het noodzakelijke aanvullende werk en stemmen bijkomende kosten vooraf met je af.
Wanneer is alles weer veilig en bereikbaar?
Een exacte planning kunnen we op dit moment nog niet geven. Ook na beschikbaarheid van een PHP-patch kost het tijd om updates per omgeving zorgvuldig uit te rollen, afhankelijkheden aan te passen en te testen. We werken met prioriteit aan een veilige en stabiele herstart en houden deze pagina bij.
Moet ik zelf iets doen en hoe blijf ik op de hoogte?
Je hoeft niet zelf preventief software te wijzigen zonder afstemming. Wij inventariseren de beheerde omgevingen en nemen contact met je op als er specifieke actie of informatie van jou nodig is. Via de statuslog bovenaan deze pagina delen we de belangrijkste ontwikkelingen, ook voor klanten die niet direct getroffen zijn.