Een security advisory is een officiële melding van de maker van software over een beveiligingsprobleem en wat je eraan moet doen. Je leest erin of jouw versie geraakt is en welke update het oplost. Het is dus de beste plek om te beginnen als je wilt weten of je moet handelen.
Wat is een security advisory?
Een security advisory is het document dat je vertelt wat je moet doen, en daarmee bruikbaarder voor een site-eigenaar dan het kale CVEEen CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft.-record erachter.
De maker schrijft hem, omdat de maker de code kent en de oplossing heeft. Een goede advisory beantwoordt vier vragen. Wat is het probleem, in gewone woorden? Welke versies zijn geraakt en welke niet? Welke versie lost het op? En kun je iets doen terwijl je wacht, zoals een instelling die het risico verkleint?
Advisories komen onder verschillende namen: security bulletin, securityrelease, beveiligingsmelding. De naam doet er minder toe dan de inhoud. Je zoekt vooral de lijst met getroffen en opgeloste versies, want die vergelijk je met je eigen opzet.
Advisory, CVE en score
De drie onderdelen passen in elkaar. De CVE geeft de fout een gedeeld nummer. De CVSSCVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico.-score zegt hoe ernstig hij is. De advisory zegt wat je moet doen. Een scanner toont soms alleen de eerste twee, en dan houd je een getal over zonder instructies. Klik door naar de advisory.
Wat het betekent voor een PHP- of WordPress-site
PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. publiceert advisories op php.net bij zijn releases. Voor WordPressWordPress is een programma waarmee je een website maakt en beheert zonder te hoeven programmeren. kondigt het kernteam securityreleases aan, en pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop.- en themamakers doen dat op hun eigen pagina’s, waar de kwaliteit uiteenloopt. Sommige kleine plugins publiceren niets, en het eerste teken is dan een regel in de changelog die beveiliging noemt.
De advisory laat ook zien wat de maker wel en niet kan zeggen. Spreekt hij van “getroffen” versies, dan is dat een uitspraak over de code die de maker heeft getest. Oudere takken die de maker niet meer ondersteunt, worden vaak helemaal niet genoemd. Niet op de lijst staan betekent dus niet dat je veilig bent.
Een concreet voorbeeld
Op 21 oktober 2026 publiceerde php.net een security advisory bij de release van PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens de advisory verhelpen die versies twee kritieke kwetsbaarheden waarmee een aanvaller zonder inloggen code op de server kan uitvoeren, en worden alle PHP-gebruikers dringend aangeraden direct te updaten. De advisory noemt de installaties met risico: PHP-FPMPHP-FPM is een programma op de server dat de PHP-code van je website uitvoert en de afgemaakte pagina doorgeeft, zodat bezoekers hem zien., ApacheEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt. met mod_phpmod_php is een oudere manier waarop een server de PHP-code van je website uitvoert, als onderdeel van de software die je site aflevert., php-cgi, FrankenPHP en LiteSpeed. Ook oudere versies komen aan bod: PHP 8.1 en ouder krijgen geen updates meer, en het PHP-securityteam publiceerde minimale bronpatches voor 7.4, 8.0 en 8.1. De volledige stand staat op onze pagina over PHP2Shell.
Wanneer je op een advisory handelt
Handel als de advisory gaat over software die je draait. Zoek eerst je versie uit, via je hostingpaneelEen hostingpaneel, zoals cPanel of Plesk, is de beheerpagina van je hosting, waar je domeinen, e-mail en PHP-versie instelt. of met je PHP-versie controleren. Staat je versie als getroffen vermeld, installeer dan de opgeloste versie zoals bij securitypatchEen securitypatch is een update die alleen een beveiligingsprobleem oplost en verder niets aan je website verandert. beschreven, of vraag je host om een datum. Maak eerst een back-upEen back-up is een kopie van je hele website, apart bewaard, zodat je hem kunt terugzetten als er iets misgaat..
Gaat de advisory over een kwetsbaarheidEen kwetsbaarheid is een zwakke plek in software waar een aanvaller misbruik van kan maken, zoals een deur die niet goed op slot gaat. in een versie die geen fixes meer krijgt, dan helpt geen advisory je aan een patch. Dat is het moment om een overstap naar een ondersteunde versie te plannen met onze hulp bij je PHP-versie updaten. Bewaar elke advisory waarop je handelt, met de datum, zodat je later je eigen tijdlijn kunt laten zien.
Veelgestelde vragen
Wat is het verschil tussen een security advisory en een CVE?
Een CVE is het gedeelde nummer en het korte record van een fout. Een security advisory is de eigen melding van de maker, met meer context: welke versies geraakt zijn, welke versies het oplossen en wat je moet doen. Om te handelen heb je meestal de advisory nodig.
Waar vind ik security advisories voor PHP?
Op php.net, in het nieuwsarchief en de releaseaankondigingen. Voor WordPress, plugins en themaEen WordPress-thema is het ontwerp van je WordPress-site: het bepaalt hoe pagina's eruitzien en hoe ze zijn opgebouwd.'s kijk je op de site van het project zelf, de pluginpagina en de aankondigingen van WordPress.org.
Moet ik elke advisory lezen?
Alleen die van software die je draait. Houd een korte lijst bij met je PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3., CMSEen contentmanagementsysteem (CMS) is een programma waarmee je teksten en afbeeldingen op je website zelf aanpast, zonder te hoeven programmeren. en plugins en toets advisories daaraan. Je hostingpartijWebhosting is de dienst die jouw website op een computer zet die altijd aan staat en met internet verbonden is, zodat bezoekers hem kunnen openen. of ontwikkelaar kan dat ook voor je doen.
Wat als de advisory zegt dat ik direct moet updaten?
Zie het als startsein voor een plan, niet als paniekknop. Controleer je versie, maak een back-up en installeer de opgeloste versie, of vraag je host wanneer die dat doet. Doe het binnen dagen.