Half Nederland ging vandaag op zwart door een lek in PHP. Deze site niet. Er zit geen regel PHP in.
Vandaag: patchen. Dat gaat voor alles, en hieronder staat hoe. Daarna: weg ermee. Want de echte vraag is waarom jouw site nog draait op een server die jij zelf bij moet houden. Wij helpen bedrijven daar vanaf.
Bron: liveblog RTL Nieuws, 21 oktober, 14:49. Offline gaan was hier de verstandige keuze, niet het probleem.
Op de server: php -v. Op shared hosting staat het in het controlepaneel. Weet je het niet, vraag het je hoster of bouwer.
Verwacht om 16:00 via php.net. Zet nu alvast klaar wat je nodig hebt, zodat het daarna minuten werk is en geen uren.
De meeste hosters patchen zelf. Vraag wanneer, en of ze het bevestigen als het gedaan is.
Dat is ook het advies van het Britse NCSC. Een paar uur onderhoudspagina kost minder dan een overgenomen server.
Het lek was al openbaar voordat de patch er was. Controleer of er iets vreemds is gebeurd en volg het NCSC voor indicatoren.
Dit is één HTML-bestand op een CDN. Er draait geen server die iets uitvoert, er is geen database en er is geen inlogscherm. Er valt dus niets over te nemen.
Niet elke site kan zo. Een webshop of DigiD heeft logica op de server nodig. Maar veel campagnepagina's, informatiesites en landingspagina's hebben dat niet, en draaien toch op een volledig CMS met plugins. Elk stuk software dat je niet draait, hoef je ook niet om 16:00 te patchen.
Geen PHP betekent niet automatisch veilig. Het betekent wel: minder dat jij zelf moet bijhouden.
Dat hangt af van wat je site doet. Er zijn grofweg drie routes. Geen ervan is een knop die je omzet, maar ze zijn alle drie te doen zonder dat je site een dag offline gaat.
Van WordPress, Joomla, Drupal
Je pagina's worden vooraf gebouwd tot losse bestanden en staan op een CDN, net als deze site. Je redactie blijft gewoon teksten aanpassen in een CMS dat iemand anders host en patcht.
Meestal 2 tot 6 weken
Van WooCommerce, Magento, PrestaShop
Over naar een gehost platform zoals Shopify. Producten, klanten en bestelhistorie gaan mee. Beveiligingsupdates zijn dan het probleem van het platform, niet meer van jou.
Meestal 4 tot 10 weken
Van Laravel, Symfony, eigen code
Dit is een herbouw, en die doe je in stukken. Nieuwe onderdelen in een andere stack, oude stukken één voor één uitzetten. Tot de laatste regel PHP weg is.
Plan van aanpak eerst
Laat je gegevens achter. We kijken naar je site en sturen binnen twee werkdagen terug welke route past, hoe lang het duurt en wat het ongeveer kost.
Geen verkoopgesprek als je dat niet wilt. Eerst patchen blijft ons advies voor vandaag.
Ken je iemand met een WordPress-site, een webshop of een oud intranet? Stuur ze de vijf stappen hierboven.