Een supply-chain-aanval raakt je via een leverancier of geleverd onderdeel, in plaats van alleen via je eigen website.
Definitiebron: NIST: supply chain attack. Gelezen op 24 oktober 2026. De praktische vragen op deze pagina helpen je de melding met je beheerder af te bakenen.
Wat is de keten achter je website?
Je website gebruikt onderdelen en diensten die andere partijen leveren. Denk aan een WordPress-pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop., een extern script of een dienst die bestanden voor je publiceert. NIST beschrijft een supply-chain-aanval als een aanval via het leveranciersnetwerk van het doelwit.
De route loopt dus via een afhankelijkheid die je gebruikt.
Een storing bij een leverancier is niet automatisch zo’n aanval. Er moet onderbouwing zijn voor de ongewenste wijziging of toegang. Evenmin bewijst een overname van een softwarebedrijf dat zijn producten onbetrouwbaar zijn.
Baseer een beoordeling op een concrete melding en de onderdelen die daarin worden genoemd.
Hoe bepaal je of een melding relevant is?
Welke PHP-versie meldt jouw site?
Passieve check van headers, versie en de kop van de homepage. Geen login, geen scan.
Vraag je beheerder of jouw site het genoemde onderdeel gebruikt, uit welke bron het komt en welke versie of levering betrokken is. Bewaar het beveiligingsadviesEen security advisory is een officiële melding van de maker van software over een beveiligingsprobleem en wat je eraan moet doen. van de maker bij die inventaris. Een merknaam in een nieuwsbericht is te breed om jouw betrokkenheid vast te stellen.
Controleer ook wie het onderdeel kan wijzigen. Sommige bestanden worden met jouw website uitgebracht; andere komen tijdens het bezoek van een externe dienst. Dat verschil bepaalt welke partij de informatie over een wijziging heeft.
Vraag bij een antwoord zonder bewijs om de gebruikte bron en de datum van de controle.
Wat doe je als een leverancier een incident meldt?
Laat de beheerder het advies van de leverancier vergelijken met jouw installatie. Spreek af wie contact houdt en wie eventuele wijzigingen test. Verwijder niet op eigen initiatief alle externe onderdelen: formulieren en betalingen kunnen ervan afhangen.
Laat eerst bepalen welke maatregel volgens het advies op jouw situatie van toepassing is.
Subresource IntegritySubresource Integrity laat je browser controleren of een geladen script of stijlbestand overeenkomt met de vooraf verwachte inhoud. kan bij geschikte bestanden een onverwachte inhoudswijziging blokkeren. Het is geen controle van de hele leveranciersketen. Vraag dus welke afhankelijkheden onder die controle vallen en welke niet.
PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. vervangen lost een risico in een extern browserscript niet vanzelf op.
Wanneer schakel je hulp in?
Vraag hulp als niemand de afhankelijkheden kan inventariseren, het leveranciersadvies onduidelijk is of verdachte code is gevonden. Houd de vraag afgebakend: welk onderdeel, welke bron en welk bewijs van gebruik op jouw site? Daarmee kan een onderzoeker gericht beoordelen wat nader bekeken moet worden.
Beschuldig geen leverancier op basis van alleen een vergelijkbare naam of een doorverteld bericht. Bewaar de oorspronkelijke melding en de reactie van de leverancier. Noteer welke conclusie bevestigd is en welke vraag nog openstaat, ook wanneer de site na een wijziging normaal werkt.
Namen van producten en bedrijven op deze pagina zijn van hun eigenaren. We noemen ze om te beschrijven wat er gebeurde. We zijn niet verbonden aan de genoemde partijen.
Bereid je hulpvraag voor
Maak voor je beheerder een korte notitie met de betrokken pagina, het moment van de waarneming en wat je team daarvoor veranderde. Voeg de oorspronkelijke melding toe als die beschikbaar is. Houd feiten en vermoedens apart.
Een beschrijving als ‘dit zag ik op deze pagina’ is bruikbaarder dan een conclusie waarvoor nog geen onderzoek is gedaan.
Voor regulier onderhoud aan een PHP-site kun je de bestaande diensten van een PHP-specialist bekijken. Bespreek eerst welke vraag binnen die dienst past. Deze begrippenpagina biedt uitleg, geen onderzoek van jouw installatie of toezegging over herstel.
Laat bij een mogelijk incident vooraf vastleggen welke deskundigheid nodig is en welke onderdelen iemand daadwerkelijk kan beoordelen.
Spreek af wie de bevindingen ontvangt en wie een open vraag opvolgt. Vraag om een verslag met de gecontroleerde onderdelen, de datum en de beperkingen. Dat helpt je beslissen over een volgende stap zonder een algemene geruststelling als bewijs te gebruiken.
Je eerste eigen stap is de waarneming vastleggen en aan de verantwoordelijke beheerder doorgeven.
Veelgestelde vragen
Moet ik stoppen met alle externe diensten?
Dat volgt niet uit één melding. Laat bepalen welke afhankelijkheid is geraakt en wat de maker adviseert. Bespreek gevolgen voor formulieren en betalingen voordat onderdelen worden gewijzigd.
Wat geef ik door aan mijn beheerder?
De betrokken pagina, het tijdstip en de oorspronkelijke melding. Beschrijf wat je zelf zag en wat nog een vermoeden is. Deel geen wachtwoorden, sleutels of persoonsgegevens van klanten in een gewoon formulier.
Kan de PHP Exposure Check dit vaststellen?
Nee. Die check laat alleen zien wat je server publiek over onder meer de PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. prijsgeeft. Hij onderzoekt geen malware, toegangsrechten of onderschepping van formuliergegevens.
Laat je concrete melding apart beoordelen.