Kwetsbaarheid

Een kwetsbaarheid is een zwakke plek in software waar een aanvaller misbruik van kan maken, zoals een deur die niet goed op slot gaat. Alle software kan ze hebben, ook WordPressWordPress is een programma waarmee je een website maakt en beheert zonder te hoeven programmeren. en plugins. Je zet ze dicht met een update zodra de maker een oplossing uitbrengt.

Wat is een kwetsbaarheid?

Een kwetsbaarheid is een eigenschap van de software en niet van een aanval: een kwetsbaarheid kan jaren bestaan zonder dat iemand hem gebruikt, en hij is geen probleem meer zodra de oplossing erop staat.

De meeste kwetsbaarheden zijn gewone fouten. Een ontwikkelaar vergeet invoer van een bezoeker te controleren, vertrouwt gegevens die niet te vertrouwen zijn, of gaat zo met geheugen om dat het uit de koers te duwen is. Bekende families hebben eigen namen, zoals SQL-injectieSQL-injectie is een aanval waarbij iemand via een formulier of webadres eigen opdrachten in de database van je site smokkelt. en cross-site scriptingCross-site scripting (XSS) is een aanval waarbij iemand een schadelijk script op jouw pagina zet dat meedraait in de browser van je bezoekers., en het zwaarste type laat een aanvaller code op afstand uitvoerenRemote code execution (RCE) betekent dat een aanvaller van buitenaf eigen opdrachten op jouw server kan uitvoeren, alsof hij er zelf achter zit., wat remote code execution heet.

Wordt een fout gevonden en gemeld, dan staat hij meestal beschreven in een CVEEen CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft.-record, publiceert de maker een security advisoryEen security advisory is een officiële melding van de maker van software over een beveiligingsprobleem en wat je eraan moet doen. en komt er een securitypatchEen securitypatch is een update die alleen een beveiligingsprobleem oplost en verder niets aan je website verandert.. De volgorde doet ertoe: eerst bestaat de fout, later komt de oplossing, en het gat daartussen is de periode waarin sites risico lopen.

Kwetsbaarheid, exploit en aanval

Deze drie woorden worden snel door elkaar gehaald. De kwetsbaarheid is de zwakke plek. Een exploitEen exploit is een stukje code of een werkwijze waarmee iemand een zwakke plek in software echt kan uitbuiten. is de methode of code die hem gebruikt. De aanval is dat iemand die methode echt tegen een doelwit inzet. Alleen dat laatste betekent dat een site is aangeraakt. “Deze site heeft een kwetsbaarheid” betekent dus niet “deze site is gehackt”.

Wat het betekent voor een PHP- of WordPress-site

Een gewone site is een stapel onderdelen en elk onderdeel kan kwetsbaarheden hebben: de PHP-runtime, de webserverEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt., het CMSEen contentmanagementsysteem (CMS) is een programma waarmee je teksten en afbeeldingen op je website zelf aanpast, zonder te hoeven programmeren., elke pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop. en elk themaEen WordPress-thema is het ontwerp van je WordPress-site: het bepaalt hoe pagina's eruitzien en hoe ze zijn opgebouwd.. Hoe meer code er draait bij een paginaverzoek, hoe meer plekken waar een fout kan zitten. Daarom verdienen oude plugins die je niet meer gebruikt net zoveel aandacht als de plugins die je wel gebruikt.

Een verouderde PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. voegt daar iets aan toe. Is een tak voorbij end of lifeEnd of life (EOL) betekent dat de maker een versie van software niet meer bijwerkt, ook niet als er een beveiligingsprobleem wordt gevonden., dan krijgen nieuwe fouten die erin worden gevonden geen officiële oplossing meer. Dat betekent niet dat de site gehackt is of zeker wordt. Het betekent dat de site kan blootstaan aan nieuwe fouten, zonder dat je ze op die versie kunt dichten.

Een concreet voorbeeld

Op 21 oktober 2026 bracht het PHP-project PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit, die twee kritieke kwetsbaarheden verhelpen. Volgens php.net kan een aanvaller er zonder inloggen code mee op de server uitvoeren, en php.net raadt alle PHP-gebruikers dringend aan direct te updaten. Het is een goed voorbeeld van de hierboven beschreven reeks: een fout, een CVE-record, een advisory en een opgeloste versie op dezelfde dag. De volledige lijst met feiten en wat nog onbekend is, vind je op de pagina over PHP2Shell.

Zo controleer je het en wanneer je handelt

Begin met een simpele inventaris: je PHP-versie, je CMS-versie en de lijst met plugins en thema’s. Je hostingpaneelEen hostingpaneel, zoals cPanel of Plesk, is de beheerpagina van je hosting, waar je domeinen, e-mail en PHP-versie instelt. of een phpinfo-pagina toont de PHP-versie, en de gratis PHP exposure check laat zien wat de buitenwereld van je site kan lezen.

Handel zodra een maker een oplossing publiceert voor iets wat je draait, en sneller als de advisory zegt dat je direct moet updaten. Ligt je site eruit, doet hij vreemde dingen of vermoed je dat hij is gebruikt, vraag dan om onze hulp bij WordPress problemen oplossen, zodat iemand met je meekijkt.

Haal weg wat je niet nodig hebt. Een plugin die uitstaat maar nog geïnstalleerd is, kan nog steeds een fout bevatten, en het aanvalsoppervlakHet aanvalsoppervlak is het geheel van plekken waar een aanvaller kan proberen je website binnen te komen, zoals logins, formulieren en plugins. verkleinen is goedkoper dan eindeloos patchen.