Zero-day

Een zero-day is een beveiligingsprobleem dat aanvallers al kunnen gebruiken voordat de maker een oplossing heeft. Er is dan nog geen update die het dichtzet. Wat je wel kunt doen, is je software actueel houden en de adviezen van de maker volgen.

Wat is een zero-day?

Het woord gaat over timing en niet over ernst: het gaat erom dat de zwakke plek al wordt gebruikt, of bij aanvallers bekend is, terwijl er nog geen officiële securitypatchEen securitypatch is een update die alleen een beveiligingsprobleem oplost en verder niets aan je website verandert. bestaat om hem te dichten.

Een gewone fout doorloopt een vaste volgorde. Iemand vindt hem, meldt hem bij de maker, de maker bouwt een oplossing, publiceert een advisory en site-eigenaren installeren de update. De meeste fouten verlaten die nette route nooit. Een zero-day doorbreekt de volgorde: aanvallers vinden of kopen de fout eerst en gebruiken hem terwijl de maker er niets van weet, of ervan weet maar nog geen oplossing heeft.

Je ziet vaak de term “zero-day exploit”. Dat is de exploitEen exploit is een stukje code of een werkwijze waarmee iemand een zwakke plek in software echt kan uitbuiten. voor een nog niet verholpen kwetsbaarheidEen kwetsbaarheid is een zwakke plek in software waar een aanvaller misbruik van kan maken, zoals een deur die niet goed op slot gaat.. Zodra er een oplossing uit is, is dezelfde fout geen zero-day meer. Het wordt een gewone bekende kwetsbaarheid, en de vraag verandert van “kan het worden tegengehouden” in “heb je de update geïnstalleerd”.

Waarom het woord te vaak valt

Koppen noemen graag elke ernstige fout een zero-day, omdat het urgent klinkt. Dat klopt niet en maakt mensen zonder reden ongerust. Is een fout samen met een oplossing gemeld en meldt niemand gebruik daarvoor, dan is het geen zero-day, hoe ernstig hij ook is. Check de feiten: wie zegt dat hij is gebruikt, en sinds wanneer?

Wat het betekent voor een PHP- of WordPress-site

Voor de meeste site-eigenaren is het realistische risico geen mysterieuze fout zonder oplossing, maar een bekende fout waarvan de oplossing nog niet is geïnstalleerd. Een oude WordPress-pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop. met een openbare update die klaarstaat, is veel vaker de ingang dan een echte zero-day.

Dat is goed nieuws, want het ligt in jouw handen. PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt., het CMSEen contentmanagementsysteem (CMS) is een programma waarmee je teksten en afbeeldingen op je website zelf aanpast, zonder te hoeven programmeren. en plugins bijhouden, verwijderen wat je niet gebruikt en een geteste back-upEen back-up is een kopie van je hele website, apart bewaard, zodat je hem kunt terugzetten als er iets misgaat. hebben, werkt beter dan piekeren over onbekende fouten. De catalogus van CISA KEVCISA KEV is een lijst van de Amerikaanse overheidsdienst CISA met beveiligingsproblemen die aanvallers aantoonbaar echt hebben gebruikt. is een van de plekken waar gebruik van een fout in de praktijk wordt vastgelegd, wat helpt om echte zero-days van koppen te scheiden.

Een concreet voorbeeld

Voor de twee PHP-kwetsbaarheden die op 21 oktober 2026 zijn verholpen, bracht het PHP-project op die datum gerepareerde versies uit. php.net en CISA melden geen misbruik in de praktijk, en de CISA-catalogus vermeldde de fouten bij onze laatste controle niet. Dat bewijst niet dat niemand ze misbruikt, maar de typische zero-daysituatie speelt hier niet: je hoeft niet op een fix te wachten. Er is een oplossing, en de verstandige stap is die te installeren. Onze pagina over PHP2Shell houdt de stand bij, met bronnen.

Wanneer je handelt

Bij een echte zero-day volg je het tussentijdse advies van de maker: een instelling, een uitgeschakelde functie of een regel bij je host, tot de oplossing er is. Installeer die dan snel. Zie je tekenen van misbruik, zoals onbekende bestanden, vreemde doorverwijzingen of nieuwe beheerders, vraag dan direct om onze hulp bij WordPress problemen oplossen.

Tussen incidenten is een rustige routine de beste investering: voor de software die je draait een security advisoryEen security advisory is een officiële melding van de maker van software over een beveiligingsprobleem en wat je eraan moet doen. controleren, en een kort pad van advisory naar update. Gaat dat pad langzaam omdat de site oud is, dan helpen we je met php updaten.