Van zwakke plek naar fix
Alles begint met een kwetsbaarheidEen kwetsbaarheid is een zwakke plek in software waar een aanvaller misbruik van kan maken, zoals een deur die niet goed op slot gaat.: een zwakke plek waarmee een aanvaller iets kan doen wat de software niet zou mogen toestaan. Zodra die bekend is, krijgt hij een openbaar CVEEen CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft.-nummer, zodat iedereen naar hetzelfde probleem verwijst. Een CVSSCVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico.-score drukt uit hoe ernstig het is, en de NVDDe NVD is de openbare database van de Amerikaanse overheid met bekende beveiligingsproblemen in software, aangevuld met scores en uitleg. voegt later een eigen analyse toe. De maker van de software publiceert een security advisoryEen security advisory is een officiële melding van de maker van software over een beveiligingsprobleem en wat je eraan moet doen. met de getroffen en gerepareerde versies, en de oplossing zelf komt als securitypatchEen securitypatch is een update die alleen een beveiligingsprobleem oplost en verder niets aan je website verandert..
Bewijs, misbruik en de zwaarste gevallen
Een exploitEen exploit is een stukje code of een werkwijze waarmee iemand een zwakke plek in software echt kan uitbuiten. is code die een kwetsbaarheid gebruikt. Een proof of concept laat zien dat een aanval werkt, maar dat is iets anders dan aanvallen in de praktijk. Misbruik in de praktijk houdt onder meer CISA KEVCISA KEV is een lijst van de Amerikaanse overheidsdienst CISA met beveiligingsproblemen die aanvallers aantoonbaar echt hebben gebruikt. bij. De zwaarste categorie is remote code executionRemote code execution (RCE) betekent dat een aanvaller van buitenaf eigen opdrachten op jouw server kan uitvoeren, alsof hij er zelf achter zit.: een aanvaller voert via het netwerk eigen code uit op je server. Andere bekende soorten op PHP-sites zijn SQL-injectieSQL-injectie is een aanval waarbij iemand via een formulier of webadres eigen opdrachten in de database van je site smokkelt., cross-site scriptingCross-site scripting (XSS) is een aanval waarbij iemand een schadelijk script op jouw pagina zet dat meedraait in de browser van je bezoekers. en SSRFSSRF is een aanval waarbij iemand jouw server misleidt om zelf een verzoek te doen naar een plek waar de aanvaller niet bij kan..
Een actueel voorbeeld is PHP2Shell: twee kritieke kwetsbaarheden in PHP, verholpen op 21 oktober 2026. Op die pagina staan alleen bevestigde feiten, elk met bron en tijdstip.
Rustig blijven bij een nieuw lek
Niet elk lek met een hoge score raakt jouw site. De eerste vraag is altijd: draai ik een getroffen versie? Pas daarna komen de vragen of er een fix is en hoe je die veilig installeert. Wie die volgorde aanhoudt, reageert snel zonder in paniek dingen kapot te maken.
Het doelwit kleiner maken
Je kunt niet elk nieuw lek voorkomen, wel beperken hoeveel er op jou van toepassing zijn. Elke pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop., elke login en elke regel servercode vergroot je aanvalsoppervlakHet aanvalsoppervlak is het geheel van plekken waar een aanvaller kan proberen je website binnen te komen, zoals logins, formulieren en plugins.. PHP op een ondersteunde versie houden sluit bekende gaten, en ons werk bij een WordPress-storing helpt als een site al stuk is of openligt. Publiceert je site vooral informatie, dan haalt een website zonder PHP PHP en de database uit elke paginaweergave, zodat een hele groep serverproblemen niet meer speelt.