Patchen is geen klusje meer, het is een race
Woensdag 21 oktober was het even paniek op het internet. Duizenden websites gingen tijdelijk op zwart om zich te beschermen tegen twee kritieke lekken in PHP, de programmeertaal waarop een groot deel van het web draait — ook de meeste WordPress-sites. Diezelfde week vroeg Fortinet zijn klanten om hun FortiGate-firewalls dringend bij te werken, zonder te zeggen waarom. Die uitleg volgt pas op 10 november.
Twee berichten, één boodschap: de tijd tussen "er is een lek" en "het lek wordt misbruikt" wordt korter. En daar moet je als KMO je werkwijze op afstemmen.
Wat is er gebeurd met PHP?
Op 21 oktober bracht PHP updates uit voor twee kwetsbaarheden, bekend als PHP2Shell (CVE-2026-109618 en CVE-2026-109619). Via die lekken kan een aanvaller mogelijk zonder aan te melden code uitvoeren op een webserver. Het probleem zit in PHP zelf, niet in een plugin: elke site op een kwetsbare versie loopt risico, ook een eenvoudige WordPress-site.
De impact was groot: volgens Mackenzie Jackson van de Belgische beveiliger Aikido draait zo'n 70% van de websites wereldwijd op PHP. Het EU-cyberteam CERT-EU raadde bedrijven zelfs aan om hun sites desnoods offline te halen als ze niet snel genoeg konden patchen. Dat gebeurt zelden.
Opvallend: de fouten zaten er al jaren in. Onderzoekers van onder meer Wiz en OpenAI vonden ze met nog niet uitgebrachte AI-modellen. Amazon zag op 17 oktober al een aanvalspoging, vier dagen vóór de publieke bekendmaking. Erik Van Buggenhout van het Belgische NVISO noemde AI in Trends "een brandversneller", zowel voor verdedigers als voor aanvallers.
Gepatchte versies: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Draai je nog PHP 8.1 of ouder, dan krijg je van PHP zelf geen officiële update meer.
En Fortinet?
Op 21 oktober kondigde Fortinet updates aan voor FortiOS, FortiManager en FortiAnalyzer, met de vraag om ze als prioriteit te installeren — zeker op toestellen die aan het internet hangen. Details over de lekken geeft Fortinet pas op 10 november, op Patch Tuesday.
Waarom die geheimzinnigheid? Fortinet zegt het zelf: met AI kan iemand een patch op enkele uren tot dagen "terugrekenen" naar een werkende aanval. Wie wacht tot de details er zijn, is dus te laat.
Concreet betekent dat: FortiOS 8.0.2, 7.6.8, 7.4.13 of 7.2.14 (of nieuwer). Kan je niet meteen updaten, beperk dan de beheertoegang (HTTPS/SSH) tot vertrouwde IP-adressen.
Het nieuwe normaal: minder tijd, meer patches
Vroeger kon je patches "volgende maand" inplannen. Dat venster sluit. Zodra een patch uitkomt, kan een aanvaller (of een AI-agent) eruit afleiden waar de fout zit en er een aanval voor bouwen — volgens Jackson lukt dat met AI in enkele uren. Wie dan nog niet bijgewerkt is, is een makkelijk doelwit.
En het aantal updates stijgt. Microsoft loste in zijn patchbundel van oktober alleen al 1.416 fouten op. Dezelfde dag als de PHP-patch kwamen er ook kritieke lekken in onder meer GitLab naar buiten. AI-modellen spitten oude, door mensen geschreven code door en vinden daar telkens nieuwe problemen in. Beide experts verwachten dat dit nog een tijd zo blijft.
Voor een KMO zonder IT-afdeling is dat lastig. Wie houdt de website bij? Wie weet welke firmware er op de firewall staat? En wie checkt of die ene oude server nog updates krijgt?
Vijf vragen die je vandaag kan stellen
- Weten we wat we hebben? Een lijst van alle toestellen, servers, firewalls en websites — met hun versie. Zonder inventaris kan je niet patchen.
- Wie is verantwoordelijk? Voor je website (vaak de webbouwer of hostingpartij), je firewall en je pc's. Zwart op wit.
- Hoe snel patchen we kritieke lekken? Spreek een termijn af: kritiek en actief misbruikt = binnen dagen, niet weken.
- Hangt er iets onnodig aan het internet? Beheerpagina's van firewalls, oude remote-toegang, testsites. Wat niet open hoeft te staan, gaat dicht.
- Draaien we nog verouderde software? PHP 8.2 krijgt bijvoorbeeld nog security-updates tot eind 2026. Daarna is het tijd voor een upgrade.
Waarom centraal patchbeheer
Van Buggenhout zegt het in Trends treffend: de IT-verantwoordelijke mag niet op de dag zelf moeten uitzoeken waar in het bedrijf PHP draait. Je hebt processen nodig die dat continu in kaart brengen — mensen nemen de beslissingen, software voert ze uit.
Patchen per toestel, "als iemand er eens tijd voor heeft", werkt dus niet meer. Met centraal beheer zie je in één overzicht welke pc's, Macs, servers en netwerktoestellen achterlopen, en rol je updates gecontroleerd uit — eerst testen, dan breed. Je weet ook meteen welke toestellen geraakt zijn als er een nieuw lek opduikt.
Bij PhiMac volgen we dat voor klanten met een MSP-contract op: patches, firmware en waarschuwingen van leveranciers. Wil je weten hoe jouw zaak ervoor staat? Plan een zichtbaarheidscheck of mail [email protected].
Bronnen
- Trends Knack (23/10/2026) — PHP-lek toont aan dat bedrijven zich maar beter schrap zetten: 'AI is een brandversneller': trends.knack.be
- Help Net Security (21/10/2026) — PHP2Shell: Critical PHP vulnerabilities patched, update now! (gepatchte versies, aanvalspoging 17/10 volgens Amazon, rol van AI volgens Wiz): www.helpnetsecurity.com
- Patchstack (21/10/2026) — Major security alert: PHP vulnerable to critical RCE (impact op WordPress en shared hosting): patchstack.com
- NCSC UK (21/10/2026) — Critical security issue affecting PHP: www.ncsc.gov.uk
- IT-Connect (22/10/2026) — Fortinet urges immediate patching for FortiOS and FortiManager (versies, details op 10/11, AI en patch diffing): www.it-connect.tech
- PHP — Supported versions (PHP 8.2 security-support tot 31/12/2026): www.php.net