Kort gezegd: Cyberbeveiliging in het mkb faalt bij PHP2Shell zelden bij het patchen, maar bij het overzicht. Naast de website draaien dealerportalen, configuratoren, vacaturepagina's en interne wiki's bij verschillende dienstverleners. Pas een volledige lijst maakt het risico beheersbaar en tegenover klanten en toezicht aantoonbaar.
Typische PHP-systemen in middelgrote bedrijven
In de loop der jaren verzamelen zich in producerende bedrijven veel webgebaseerde toepassingen: B2B-shops voor reserveonderdelen, dealer- en partnerportalen met prijslijsten, productconfiguratoren, downloadruimten voor technische documentatie en CAD-gegevens, reclamatie- en serviceportalen, vacaturepagina's met sollicitantenbeheer. Intern komen wiki's zoals MediaWiki, ticketsystemen en webanalyse erbij.
Een groot deel daarvan draait op PHP. De systemen zijn vaak besteld door vakafdelingen, gebouwd door bureaus en beheerd bij hostingproviders die de centrale IT niet kent. Juist daar ligt bij een lek als PHP2Shell het eigenlijke probleem.
Welke gegevens en verbindingen getroffen kunnen zijn
In portalen staan klantvoorwaarden, contactpersonen bij dealers, offerte- en ordergegevens en tekeningen die onder geheimhoudingsovereenkomsten vallen. Sollicitatieportalen bevatten cv's en getuigschriften. Voor concurrenten en afpersers zijn constructiegegevens en prijsstructuren vaak waardevoller dan persoonsgegevens.
Kritiek zijn de verbindingen: veel portalen wisselen gegevens uit met ERP, voorraadbeheer of PIM. Wie code op zo'n webserver uitvoert, vindt daar inloggegevens voor koppelingen, databases of VPN. Een gecompromitteerd portaal kan zo het ingangspunt worden tot het bedrijfsnetwerk.
Mkb en cyberbeveiliging: toeleveringsketen en NIS2
Met NIS2 gelden voor veel bedrijven uitgebreide verplichtingen voor risicobeheer en het melden van aanzienlijke beveiligingsincidenten. Of uw bedrijf direct is getroffen, hangt af van sector en omvang. Indirect zijn er veel meer getroffen, omdat klanten beveiligingseisen via contracten doorgeven aan hun leveranciers.
Voor de bedrijfsleiding komt de vraag naar de eigen verantwoordelijkheid erbij. Wat daarvoor in het algemeen geldt, licht de pagina over aansprakelijkheid van bestuurders toe. De beoordeling in het concrete geval hoort bij uw juridisch adviseur.
Palo Alto Networks (Unit 42) telde meer dan 22,6 miljoen blootgestelde, potentieel kwetsbare instanties. Een vergeten testsysteem van een bureau is voor geautomatiseerde scans even zichtbaar als uw hoofdwebsite.
De typische verantwoordelijkheidskloof in het mkb
| Gebied | Wie vaak beslist | Wat daarbij ontbreekt |
|---|---|---|
| Bedrijfswebsite | Marketing met bureau | Patchbewijs voor PHP |
| Dealerportaal, B2B-shop | Verkoop met dienstverlener | Opname in het IT-beveiligingsconcept |
| Vacaturepagina | Personeelszaken met aanbieder | Duidelijkheid over hosting en gegevens |
| Interne tools | afzonderlijke afdelingen | Inventaris en verantwoordelijken |
De centrale IT is verantwoordelijk voor netwerk, werkplekken en ERP, maar heeft vaak geen toegang tot extern gehoste systemen. Dit patroon wordt bij elk kritiek lek een knelpunt. Een eenvoudige regel helpt: elke webtoepassing die bedrijfsgegevens verwerkt, wordt met beheerder en aanspreekpunt bij de IT gemeld voordat hij online gaat.
Webserver en productienetwerk netjes scheiden
In de industrie komen webtoepassingen voor die met machines en installaties praten: service- en onderhoudsportalen op afstand, dashboards met machinegegevens, portalen voor klanten die de toestand van hun geleverde installaties opvragen. Sommige daarvan zijn op PHP gebouwd en staan in een netwerkzone die meer verbindingen heeft dan voor de taak nodig zouden zijn.
Een gecompromitteerde webserver mag geen springplank naar de productie zijn. Controleer welke verbindingen vanuit de netwerkzones van de webservers naar kantoor- en productienetwerken bestaan en beperk ze tot het noodzakelijke. Opgeslagen inloggegevens op webservers mogen alleen de rechten hebben die de toepassing echt nodig heeft. Bij toegangen voor onderhoud op afstand geldt dat in het bijzonder.
Eerste uren voor IT-leiding en directie
- Leg een inventaris aan van alle extern bereikbare PHP-systemen: domein, beheerder, PHP-versie, uitvoeringsmodus, aanspreekpunt.
- Behandel systemen met mod_php en die op PHP 8.1 of ouder als eerste. Bij mod_php schat het PHP-team het risico het hoogst in.
- Laat voor elk systeem patch op 8.5.12, 8.4.27, 8.3.36 of 8.2.35 of backport en herstart schriftelijk bevestigen. Wat niet kan worden bevestigd, haalt u tijdelijk van het netwerk.
- Zet logs vanaf 20 oktober 2026 veilig en controleer verbindingen van de webservers naar het interne netwerk.
- Documenteer de stand van zaken beknopt, zodat u klanten, verzekeraars en eventueel overheden aantoonbaar kunt antwoorden.
Hoe helpt PHP SOS concreet?
- Wij stellen samen met IT en vakafdelingen de inventaris van de PHP-systemen op en prioriteren naar risico.
- Wij coördineren patches en herstarts met bureaus en hostingproviders en verzamelen de bewijsstukken op één plek.
- Bij verdenking nemen wij de gestructureerde incident response over, met sporenveiligstelling en controle van de verbindingen met het bedrijfsnetwerk.
- Daarna bieden wij een beveiligingsaudit of penetratietest door gespecialiseerde partners aan, waarvan u het resultaat aan klanten kunt voorleggen.
- Op verzoek bewaken wij de systemen doorlopend, zodat de inventaris actueel blijft.
Veelgestelde vragen
Valt ons bedrijf onder NIS2?
Dat hangt af van sector, bedrijfsgrootte en omzet en moet per geval worden getoetst. Ook wie niet direct onder NIS2 valt, merkt de eisen vaak via klanten in de toeleveringsketen. De bindende indeling bespreekt u met uw juridisch adviseur.
Kan een gehackte webserver leiden naar het bedrijfsnetwerk?
Dat is mogelijk als de webserver verbindingen met het interne netwerk heeft, bijvoorbeeld koppelingen met het ERP, gedeelde inloggegevens of een VPN-tunnel. Of dat bij u zo is, blijkt uit een controle van de netwerkverbindingen en opgeslagen inloggegevens.
Hoe vinden wij alle PHP-toepassingen in het bedrijf?
Uitgangspunt zijn DNS-records, certificaten, hostingfacturen en contracten met bureaus. Aanvullend helpen gesprekken met marketing, verkoop, service en personeelszaken. Meestal komen daarbij systemen boven water die de IT-afdeling helemaal niet kende.
Wat verwachten klanten na PHP2Shell van ons als leverancier?
Sommige klanten vragen actief of hun leveranciers zijn getroffen en hoe die hebben gereageerd. Nuttig is een beknopte, aantoonbare weergave: welke systemen, welke patchstatus, wanneer herstart, welke controles op compromittering. Meer beloven dan vaststaat, schaadt.