Het PHP-lek van woensdag: wat er gebeurde en wat je als praktijk nu checkt

Wat er woensdag gebeurde

PHP is een programmeertaal die op de server achter een website draait. WordPress, het systeem achter veel websites van praktijken, is er bijvoorbeeld mee gebouwd. Op dinsdag 20 oktober kondigde het PHP-team een spoedupdate aan voor twee ernstige kwetsbaarheden. Nog voordat die update klaar was, lekten de details uit.

Dat maakte het gevaarlijk. De lekken kregen een risicoscore van 9,2 op 10, en volgens het Nationaal Cyber Security Centrum (NCSC) was elk systeem met PHP dat vanaf internet bereikbaar is tot de update vermoedelijk kwetsbaar. In de figuur hieronder zie je hoe zo'n lek werkt.

Overheden, ziekenhuizen, onderwijsinstellingen en nieuwssites grepen daarom in. Ook RTL Nieuws en Tweakers waren een tijd onbereikbaar. Op woensdag 21 oktober kwamen de updates beschikbaar en op donderdag kwam een groot deel van de sites weer online. Het NCSC ontving donderdag wel signalen die op misbruik wijzen, dus helemaal voorbij is het nog niet.

Waarom offline gaan verstandig was

Een website uit de lucht halen voelt als paniek, maar het was hier de verstandige keuze. Zolang er geen update is, kun je een lek niet dichten. Dan is de voordeur even op slot doen veiliger dan een achterdeur open laten staan. Ook het Europese CERT-EU adviseerde om systemen die nog niet bijgewerkt konden worden tijdelijk van internet af te halen.

Een kwetsbaarheid betekent bovendien niet dat een site ook gehackt is. Of het misgaat, hangt af van de versie, de instellingen en vooral van hoe snel er wordt bijgewerkt.

Wat je als praktijk nu checkt

Heeft jullie praktijk een website op WordPress of een ander systeem met PHP? Loop dan deze punten na, of vraag degene die jullie website beheert om het te doen. Reken op een kwartiertje.

1. Vraag je hoster of de PHP-update erop staat. Bij de meeste hostingpakketten werkt de hoster PHP zelf bij. Vraag of jullie website draait op PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 of nieuwer, en of beide lekken gedicht zijn.
2. Kijk zelf welke versie je hebt. In WordPress vind je dat onder Extra, Sitediagnose, tabblad Info, bij Server.
3. Weet dat een WordPress-update niet genoeg is. Het lek zit in PHP zelf. WordPress en plugins bijwerken blijft verstandig, maar dicht dit lek niet.
4. Draait de site op PHP 8.1 of ouder? Vraag of er toch een patch is toegepast en plan een overstap naar een versie die nog onderhouden wordt. Maak vooraf een back-up.
5. Test je site na de update. Werken het contactformulier en het inschrijfformulier nog, en komen de berichten aan?
6. Let op phishing. Oplichters haken graag in op dit soort nieuws. Krijg je een mail dat je website direct beveiligd moet worden, klik dan niet op de link maar log zelf in bij je hoster of bel ze.

Hoe zit het met Partura?

Kort gezegd: Partura had geen last van het lek en jullie hoeven niets te doen. Partura is gebouwd met andere techniek en gebruikt geen PHP, dus het lek zat er niet in. Het rooster, de uren en de accorderingen bleven gewoon bereikbaar.

Een paar dingen die helpen om rustig te blijven als dit soort nieuws langskomt:

• Geen cliëntdata. Medische dossiers blijven in het praktijksysteem waarin jullie ze bijhouden. Partura gaat over rooster, uren en uitbetaling.
• Elke praktijk apart. Iedere praktijk werkt in een eigen afgeschermde omgeving. De database controleert bij elk verzoek of iemand de gegevens van die praktijk mag zien.
• Opslag binnen de EU. De gegevens worden binnen de Europese Unie opgeslagen en zijn altijd te exporteren.
• Updates zonder installeren. Partura is een web-app. Een verbetering of beveiligingsupdate staat direct voor iedereen klaar, niemand in de praktijk hoeft zelf iets bij te werken.

Dit jaar liepen we de beveiliging van Partura al drie keer grondig na, onder meer de inlogbeveiliging en de scheiding tussen praktijken. Wil je weten hoe dat precies werkt? Stel je vraag, dan lopen we het met je door.

Wat dit zegt over software in de zorg

Software blijft kwetsbaar, hoe zorgvuldig hij ook gebouwd is. Het NCSC waarschuwde deze week dat AI het misbruik van zulke lekken kan versnellen: zwakke plekken worden sneller gevonden, door verdedigers én door aanvallers. Het verschil zit dus niet in óf er ooit iets mis is, maar in hoe snel en hoe zorgvuldig een leverancier reageert.

Daarom is het goed om elke leverancier van praktijksoftware, ook ons, deze vragen te stellen:

• Waar staan onze gegevens, en in welk land of welke regio?
• Wie kan erbij, en hoe is dat per rol geregeld?
• Hoe snel worden beveiligingsupdates doorgevoerd, en moeten wij daar zelf iets voor doen?
• Welke afspraken leggen we vast in een verwerkersovereenkomst?
• Kunnen we onze gegevens altijd meenemen als we willen stoppen?

Benieuwd hoe Partura het rooster en de uren van jullie praktijk regelt? Bekijk alle functies of plan een demo van 30 minuten.