Moet ik mijn website offline halen door het PHP-lek?

Niet omdat ze gehackt waren. Het Centrum voor Cybersecurity België (CCB) meldde op 21 oktober nog geen geslaagde aanvallen in België, zo bericht VRT NWS. Het ging om voorzorg, zoals ook Techpulse beschrijft.

Die organisaties hebben vaak veel websites en systemen tegelijk, en ze verwerken gevoelige gegevens: leerlingen, patiënten, belastingdossiers. Alles nakijken en bijwerken kost tijd. Offline gaan was voor hen de snelste manier om het risico weg te nemen tot alles gecontroleerd was. Een kmo met één website kan het vaak met één update oplossen.

Overweeg offline gaan of een onderhoudspagina als minstens één van deze situaties geldt:

• Je site draait op een kwetsbare PHP-versie en niemand kan ze binnen een dag of twee bijwerken.
• Je verwerkt gevoelige gegevens via je site, zoals klantaccounts, medische of juridische informatie, of documenten die klanten uploaden.
• Je site draait op PHP 8.1 of ouder. Daarvoor komt geen fix. Een upgrade naar minstens 8.2 kan meer werk vragen dan een gewone update.
• Je ziet signalen dat er al iemand binnen is, zoals onbekende beheerders, vreemde doorverwijzingen of nieuwe bestanden die niemand herkent.

In deze gevallen blijf je beter gewoon online:

• je site draait niet op PHP, bijvoorbeeld op Shopify, Wix of Squarespace;
• je hoster of webbouwer bevestigt met een versienummer dat de server al bijgewerkt is;
• de update is ingepland voor vandaag of morgen en je site verwerkt geen gevoelige gegevens.

Een eenvoudige brochuresite zonder formulieren loopt minder risico, maar is niet veilig. Een aanvaller kan ze nog altijd aanpassen, bezoekers doorsturen of je server misbruiken. Bijwerken blijft dus nodig. Twijfel je of je site PHP gebruikt, kijk het dan na met de gratis PHP-check van Marketing Scan.

Hier gaat het vaak mis. Een onderhoudsmodus via een WordPress-plug-in toont bezoekers wel een nette melding, maar die plug-in draait zelf op PHP. De server verwerkt elke aanvraag dus nog steeds met de kwetsbare PHP-versie. Tegen dit lek beschermt dat weinig.

Wil je echt offline gaan, vraag je hoster of webbouwer dan om dat op serverniveau te doen: een eenvoudige statische pagina die geen PHP gebruikt. Vraag daarbij om de foutcode 503 te gebruiken. Zo weten zoekmachines dat je site tijdelijk weg is en niet verdwenen.

Offline gaan is niet gratis. Je mist aanvragen via je contactformulier, bestellingen in je webshop en bezoekers die je via Google vinden. Daarom is het een tijdelijke noodmaatregel, geen oplossing. Spreek vooraf af wie de site weer online zet en wanneer: zodra de PHP-versie bijgewerkt en gecontroleerd is.

Gedeeltelijk. Cloudflare zag de eerste aanvalspogingen en zette extra firewallregels in, aldus VRT NWS. Zo'n firewall kan aanvallen afremmen. Maar volgens Patchstack is bijwerken de enige volledige oplossing.

1. Kijk of je site PHP gebruikt met de gratis check of door het je webbouwer te vragen.
2. Vraag je hoster de exacte PHP-versie en wanneer die bijgewerkt wordt.
3. Is de update er vandaag of morgen? Blijf online en volg op.
4. Duurt het langer en verwerk je gevoelige gegevens? Laat een statische onderhoudspagina op serverniveau plaatsen.
5. Na de update: zet de site terug online en laat nakijken of er geen onbekende beheerders of bestanden zijn bijgekomen.