Het kritieke PHP-lek van 21 oktober 2026 laat zien waar beveiliging van hosting écht over gaat. Niet over een keurmerk op een website, maar over wat er gebeurt in de uren nadat een lek bekend wordt. In dit artikel leggen we uit hoe wij het doen, wat wij deze week hebben aangescherpt, en wat er nog op onze eigen lijst staat.
Updaten in minuten, niet in dagen
De tijd tussen het verschijnen van een update en de eerste geautomatiseerde aanvallen is tegenwoordig een kwestie van uren. Daarom laten wij beveiligingsupdates van de kernonderdelen van onze servers niet wachten op een onderhoudsmoment. Voor het PHP-lek van deze week draait een wachter die elke drie minuten controleert of de update beschikbaar is, hem dan installeert, alle PHP-diensten herstart en de sites controleert. Diezelfde aanpak gebruiken we voor de overige systeemupdates, die 's nachts automatisch worden doorgevoerd.
Weten wat normaal is, zodat afwijkingen opvallen
Een server die continu alarm slaat, leert je niets. Wij hebben de afgelopen maanden geleerd dat negen dagelijkse meldingen die niemand meer leest, een echt probleem zeven weken kunnen verbergen. Daarom meten onze controles een nulpunt en melden ze alleen wat nieuw is:
- Wekelijks: zijn systeembestanden ongewijzigd, zijn er rootkits, zijn er nieuwe toegangssleutels, nieuwe open poorten of kwaadaardige code in gehoste websites?
- Dagelijks: wie heeft ingelogd, van waar, en met welke sleutel? Welke adressen proberen in te breken en worden geblokkeerd?
- Doorlopend: mislukte inlogpogingen worden na enkele pogingen geblokkeerd, en bij kritieke lekken draait tijdelijk een extra wacht die elke tien minuten op tekenen van misbruik kijkt.
Controleren, niet aannemen
Op 20 en 21 oktober hebben we beide servers volledig nagelopen, zoals we dat ook doen als er geen aanleiding is: inlogpogingen van twee weken, alle toegangssleutels, geplande taken, draaiende processen, open poorten, uitgaand netwerkverkeer, de reputatie van onze mailservers en de code van alle gehoste sites op kenmerken van webshells. De uitkomst: geen aanwijzingen voor een inbraak. Dat schrijven we pas op nadat we het gemeten hebben, niet omdat we het verwachten.
Wat we eerlijk nog niet af hebben
Beveiliging is nooit klaar, en wij vinden dat klanten mogen weten waar we staan. Veel van onze toepassingen en gehoste websites deelden tot voor kort dezelfde databasetoegang. Dat is gebruikelijk bij gedeelde hosting, maar het betekent dat één gekraakte toepassing te veel kan zien. Daar werken we nu aan, in deze volgorde:
- Eigen databaseaccounts per toepassing, met alleen de rechten die die toepassing nodig heeft. Voor ons klantcommunicatieplatform is dat deze week gebeurd.
- Een eigen, afgeschermde omgeving per klant, zodat websites van verschillende klanten elkaars bestanden en gegevens niet kunnen zien.
- Daarna per klant een eigen databaseschema.
Elke stap meten we eerst, voeren we daarna door, en controleren we achteraf. Dat gaat soms minder snel dan we zouden willen, maar wel zonder sites te breken.
Wat dit voor u betekent
Als klant van IT Live hoeft u voor het PHP-lek niets te doen: de update wordt automatisch geïnstalleerd en gecontroleerd, en wij houden de dagen erna extra in de gaten. Host u elders? Vraag uw hoster vandaag wanneer de update erop staat en of dat automatisch gebeurt. Wilt u dat wij eenmalig meekijken? Bel of app 085 060 4471.