Beveiligingslek in PHP: wat we hebben gedaan
Op 21 oktober werd het PHP-lek PHP2Shell bekend. Zo beschermden we het Afosto-platform: online gebleven, aanvallen tegengehouden, geen misbruik gevonden.
Op woensdag 21 oktober werd wereldwijd een ernstig beveiligingslek in PHP bekend, onder de naam PHP2Shell. Veel webshops en websites draaien op PHP, ook een deel van het Afosto-platform.
Veel websites gebruiken PHP in combinatie met de webserver Apache. Bij die combinatie is bevestigd dat aanvallers het lek konden misbruiken. Wij draaien PHP op een andere manier, waarbij misbruik veel lastiger is. Toch hebben we niets aan het toeval overgelaten.
Wat we hebben gedaan
We hebben ervoor gekozen om online te blijven, zodat je webshop bestellingen kon blijven ontvangen. Vanaf 09:00 uur hebben we in meerdere lagen van ons platform extra beveiliging ingebouwd:
- Verdachte verzoeken worden aan de rand van ons netwerk direct tegengehouden.
- Uploads en formulieren met bijlagen hebben we tijdelijk uitgeschakeld.
- Al het verkeer loopt verplicht via onze firewall.
We hielden het verkeer de hele dag in de gaten. We zagen zo'n 1.000 aanvalspogingen. Die zijn allemaal tegengehouden en de afzenders hebben we geblokkeerd.
De officiële oplossing werd om 16:00 uur aangekondigd, maar de nieuwe versie van PHP stond al eerder online. We hebben die direct gedownload en verwerkt in de software voor onze servers. Om 15:35 uur, ruim voor de aankondiging, stond de eerste bijgewerkte versie al klaar. Om 16:15 uur draaide die op alle webshops, en in de loop van de middag ook op de rest van ons platform.
Ons onderzoek
Het lek was mogelijk al eerder bij aanvallers bekend. Daarom hebben we niet alleen woensdag onderzocht, maar ons hele platform vanaf 14 oktober. We hebben gekeken naar logs, binnenkomend en uitgaand verkeer, toegang tot gegevens en de servers zelf. Nergens vonden we sporen van misbruik.
Wat heb je ervan gemerkt?
- Uploads en formulieren met bijlagen werkten woensdag tijdelijk niet.
- Spooler, onze printdienst, haperde woensdagmiddag af en toe door de updates. Pakbonnen of labels konden toen vertraagd worden geprint.
- Inloggen haperde rond 13:05 uur een paar minuten. Dat kwam door een losstaande storing en had niets met het lek te maken.
Excuses voor het ongemak.
Veelgestelde vragen
Wat is PHP2Shell?
PHP2Shell is de naam van een ernstig beveiligingslek in PHP dat op woensdag 21 oktober 2026 wereldwijd bekend werd. Veel webshops en websites draaien op PHP. Bij websites die PHP in combinatie met de webserver Apache gebruiken, is bevestigd dat aanvallers het lek konden misbruiken.
Moet ik als Afosto-klant zelf iets doen?
Nee, je hoeft zelf niets te doen. Sinds woensdagmiddag 21 oktober draait de officiële oplossing op het hele Afosto-platform. Om 16:15 uur draaide de bijgewerkte versie van PHP op alle webshops, en in de loop van de middag ook op de rest van het platform.
Is het lek bij Afosto misbruikt?
We hebben geen sporen van misbruik gevonden. Omdat het lek mogelijk al eerder bij aanvallers bekend was, hebben we het hele platform onderzocht vanaf 14 oktober: logs, binnenkomend en uitgaand verkeer, toegang tot gegevens en de servers zelf. Woensdag zagen we zo'n 1.000 aanvalspogingen. Die zijn allemaal tegengehouden.
Waarom is Afosto online gebleven?
We hebben ervoor gekozen om online te blijven, zodat webshops bestellingen konden blijven ontvangen. Vanaf 09:00 uur hebben we in meerdere lagen extra beveiliging ingebouwd: verdachte verzoeken worden aan de rand van ons netwerk tegengehouden, uploads en formulieren met bijlagen gingen tijdelijk uit en al het verkeer loopt verplicht via onze firewall.