PHP2Shell: hoe WebwinkelKeur omging met het grote PHP-beveiligingsprobleem
Het zal waarschijnlijk niemand ontgaan zijn: op 21 oktober 2026 werd een groot beveiligingsprobleem in PHP aangekondigd, onder de naam PHP2Shell. Omdat PHP door ontzettend veel websites en webapplicaties wordt gebruikt, zorgde dit voor de nodige onrust.
De exacte details van het beveiligingslek waren in eerste instantie nog niet bekend. Wel werd aangekondigd dat de technische details, waaronder de manier waarop het lek misbruikt kan worden, om 16.00 uur openbaar zouden worden gemaakt.
Voor ons betekende dit dat we snel moesten handelen. Daarbij stonden twee zaken centraal: de veiligheid van onze systemen en het beperken van de overlast voor onze leden.
Zo lang mogelijk veilig online blijven
We hebben er bewust voor gekozen om onze systemen niet direct offline te halen. In plaats daarvan hebben we verschillende technische aanpassingen doorgevoerd om het risico op misbruik zo veel mogelijk te beperken.
Daarnaast hebben we onze systemen extra gemonitord, zodat we eventuele verdachte activiteiten snel konden signaleren.
Dankzij deze maatregelen konden belangrijke onderdelen van WebwinkelKeur, zoals de ledenpagina’s en het verzamelen van reviews, gedurende een groot deel van de dag gewoon blijven functioneren.
Rond 15.30 uur toch tijdelijk offline
Uiteindelijk hebben we rond 15.30 uur besloten om een deel van onze systemen uit voorzorg tijdelijk offline te halen.
De reden hiervoor was de aangekondigde publicatie van de exacte technische details om 16.00 uur. Zodra bekend wordt hoe een beveiligingslek precies misbruikt kan worden, neemt ook het risico op daadwerkelijke aanvallen toe.
We wilden geen onnodige risico’s nemen en hebben daarom gekozen voor een tijdelijke onderbreking. Zo konden we onze systemen veilig bijwerken en de benodigde beveiligingsupdates doorvoeren.
Widgets en sidebar bleven gewoon werken
Bij het nemen van deze maatregelen hebben we nadrukkelijk rekening gehouden met onze leden.
Onderdelen zoals de WebwinkelKeur-sidebar en onze widgets zijn namelijk belangrijk voor het vertrouwen van consumenten in een webwinkel. We wilden voorkomen dat een beveiligingsprobleem bij ons ook direct gevolgen zou hebben voor de werking of uitstraling van de webwinkels van onze leden.
Daarom hebben we onze systemen zo ingericht dat de sidebar en widgets gedurende de hele dag beschikbaar bleven. Ook tijdens het tijdelijk offline halen van andere onderdelen.
Op die manier konden we de veiligheid vooropstellen, zonder onnodig de webwinkeliers zelf te verstoren.
Inmiddels weer volledig online
Inmiddels hebben we alle benodigde beveiligingsupdates doorgevoerd en zijn onze systemen weer volledig online.
Het was een bijzondere dag, waarin we voortdurend moesten afwegen hoe we onze dienstverlening zo goed mogelijk konden voortzetten zonder concessies te doen aan de veiligheid.
We bedanken al onze leden voor hun begrip en geduld. Veiligheid blijft voor ons een belangrijke prioriteit, maar we doen er tegelijkertijd alles aan om de impact van dit soort situaties op onze leden zo klein mogelijk te houden.