Kort gezegd: Een IT-beveiligingsdienstverlener inschakelen loont als er tekenen van een inbraak zijn, oude PHP-versies zonder officiële update draaien, intern tijd of vakkennis ontbreekt of juridische vragen worden geraakt. Staat uw website bij een hoster die patch en herstart schriftelijk bevestigt, of kan uw eigen IT een ondersteunde PHP-stand zelf bijwerken en controleren, dan hebt u voor PHP2Shell vaak geen externe hulp nodig.
De vraag die veel bedrijven zich nu stellen
In de week na 21 oktober 2026 hebben veel bedrijven voor het eerst nauwkeuriger gekeken wie eigenlijk hun webservers beheert. Het resultaat was vaak ontnuchterend: het bureau is verantwoordelijk voor de inhoud, de hoster voor de hardware, en de PHP-versie op de oude vServer kent niemand precies.
Tegelijk geldt: niet elk bedrijf heeft in deze situatie een beveiligingsdienstverlener nodig. Wie eerlijk nagaat wat er intern kan, bespaart geld en behoudt de controle. Wie zichzelf overschat, riskeert dat een inbraak onopgemerkt blijft. Dit artikel helpt bij de inschatting, zonder u iets te willen verkopen wat u niet nodig hebt.
Zelf oplossen of een IT-beveiligingsdienstverlener inschakelen: de criteria
| Criterium | Zelf oplossen | Dienstverlener inschakelen |
|---|---|---|
| Hostingmodel | Shared hosting of managed met bevestigde patch | Eigen server zonder beheer, onduidelijke verantwoordelijkheid |
| PHP-versie | 8.2 tot 8.5, officiële update of distributiebackport beschikbaar | 8.1 of ouder, alleen backports uit broncode of externe bronnen |
| Aantal systemen | Eén of enkele websites, goed gedocumenteerd | Veel servers, gemengde omgevingen, containers |
| Interne competentie | Beheerder met serverrechten, ervaring met pakketbeheer en herstarts | Niemand met toegang of ervaring beschikbaar |
| Tekenen van een inbraak | Geen bijzonderheden na controle | Onbekende bestanden, processen, accounts of verbindingen |
| Persoonsgegevens | Geen gevoelige gegevens op het systeem | Klantgegevens, gezondheids- of betaalgegevens |
| Verzekering en meldplichten | Geen raakvlak | Verzekeraar of gegevensbescherming moeten worden betrokken |
| Behoefte aan bewijs | Interne notitie volstaat | Verslag voor directie, audit of verzekeraar nodig |
Als in uw situatie meerdere regels in de rechterkolom van toepassing zijn, pleit veel voor externe hulp. Geldt alleen de rechterkolom bij „Behoefte aan bewijs“, dan volstaat vaak gerichte ondersteuning bij de documentatie.
Een zelftest in zeven vragen
Beantwoord de vragen met ja of nee. Elk nee is een aanwijzing waar u hulp nodig kunt hebben.
- Weet u voor elke website op welke server en met welke PHP-versie ze draait?
- Kunt u aantonen dat deze stand is verholpen tegen CVE-2026-109618 en CVE-2026-109619, bijvoorbeeld via de pakket-changelog? De handleiding staat onder PHP-versie en patchstatus juist controleren.
- Heeft iemand in huis de rechten en de kennis om PHP bij te werken en alle workers te herstarten?
- Hebt u voor websites bij de hoster een schriftelijke bevestiging van patch en herstart? Een sjabloon biedt Zo vraagt u uw hoster naar de patchstatus.
- Heeft iemand gezocht naar bijzonderheden sinds 17 oktober 2026, zoals nieuwe PHP-bestanden in uploadmappen of onbekende cronjobs?
- Zijn de serverlogs vanaf 20 oktober 2026 veiliggesteld?
- Is er een persoon die over een tijdelijke uitschakeling mag beslissen en bereikbaar is?
Zeven keer ja betekent: u staat er goed voor. Een of twee keer nee zijn vaak intern in te halen. Bij drie of meer keer nee, vooral bij vraag 2 en 5, is externe ondersteuning een serieuze overweging.
Wanneer u uitdrukkelijk geen dienstverlener nodig hebt
Er zijn situaties waarin wij zelf zouden afraden geld uit te geven aan externe hulp. Een eenvoudige bedrijfswebsite bij een grote hoster die de patch heeft bevestigd, zonder formulieren met gevoelige gegevens en zonder bijzonderheden, hoort daarbij. Ook een eigen server met PHP 8.3 of 8.4, waarvan de beheerder de distributiebackport heeft geïnstalleerd, alle processen heeft herstart en de logs kort heeft bekeken.
In deze gevallen is het belangrijkste een korte schriftelijke notitie: wat is wanneer gecontroleerd, met welk resultaat? Ze helpt bij vragen achteraf en bij de volgende situatie.
Eerlijk gezegd hoort daar ook bij de eigen grenzen niet te onderschatten. Een update installeren is voor veel beheerders routine. Een verdacht bestand juist beoordelen zonder sporen uit te wissen, is dat meestal niet. Wie bij het patchen iets opvallends vindt, moet op dat punt stoppen, niets verwijderen en opnieuw beslissen of hij alleen verdergaat.
Ook als u alles zelf afhandelt: leg vandaag vast wie u zou bellen als er toch iets opvalt. In een noodgeval is zoeken naar een dienstverlener verloren tijd.
De middenweg: verdelen in plaats van uit handen geven
Tussen „alles zelf“ en „alles uit handen geven“ ligt de variant die bij veel bedrijven het best werkt. Het eigen team neemt over wat het kent: updates, herstarts, contact met de hoster. Een dienstverlener neemt over wat speciale kennis of een onafhankelijke blik vraagt, zoals de controle op sporen, de beoordeling van een vermoeden of het verslag voor de verzekeraar.
Om dat te laten slagen, moeten toegangen, verantwoordelijkheden en gegevensbescherming zijn geregeld. Krijgt een dienstverlener toegang tot servers met persoonsgegevens, dan is in de regel een verwerkersovereenkomst nodig; aanwijzingen staan onder Verwerkersovereenkomst als dienstverleners toegang tot servers krijgen. Hoe u een passende aanbieder vindt, beschrijft Een IT-beveiligingsdienstverlener kiezen.
Hoe helpt PHP SOS concreet?
- Wij beginnen met een korte inventarisatie en zeggen openlijk als u ons niet nodig hebt.
- Wij nemen gericht de onderdelen over die intern ontbreken, zoals controle op sporen, oude systemen of het bewijs, en laten de rest bij uw team.
- Wij werken op afstand met de toegangen die u vrijgeeft en documenteren elke stap.
- Bij acute behoefte nemen wij met de PHP2Shell-noodhulp inventarisatie, patch, herstart en sporenonderzoek volledig over.
Conclusie
Het juiste antwoord op „zelf of dienstverlener?“ is zelden zwart of wit. Wie zijn systemen kent, ondersteunde PHP-versies draait en kan aantonen dat is gepatcht en herstart, redt PHP2Shell vaak alleen. Wie oude systemen, onduidelijke standen of tekenen van een inbraak heeft, moet niet aarzelen hulp te zoeken.
Veelgestelde vragen
Wanneer moet ik een IT-beveiligingsdienstverlener inschakelen?
Vooral bij tekenen van een inbraak, als oude PHP-versies zonder officiële update draaien, als intern niemand met serverrechten en ervaring beschikbaar is of als persoonsgegevens en verzekeringskwesties worden geraakt.
Kan mijn hoster dit niet gewoon afhandelen?
Bij shared hosting en veel managed abonnementen patcht de hoster PHP zelf. Laat patchstatus en herstart schriftelijk bevestigen. Voor uw toepassing, plug-ins en een controle op sporen is de hoster meestal niet verantwoordelijk.
Wat moet ik voorbereiden voordat ik een dienstverlener bel?
Een lijst van de getroffen websites en servers, toegangswegen, contactpersonen met beslissingsbevoegdheid en een korte beschrijving van wat u is opgevallen. Wis of wijzig tot dan niets wat sporen kan bevatten.
Is er een middenweg tussen zelf doen en alles uit handen geven?
Ja. Vaak neemt het eigen team de routine op zich, zoals updates en herstarts, terwijl een dienstverlener de controle op sporen, de beoordeling of de documentatie overneemt. Belangrijk is een duidelijke verdeling van wie wat doet.