Kwetsbaarheden PHP (update 2)

Beste huisarts, beste apotheker,

Op 21 oktober 2026 heeft het PHP-project een noodupdate uitgebracht voor twee ernstige beveiligingslekken, inmiddels bekend onder de naam "PHP2Shell". Omdat veel software in de zorg met deze programmeertaal werkt, willen we u in begrijpelijke taal uitleggen wat er aan de hand is en wat u eraan kunt doen.

Wat is er aan de hand?

PHP is een programmeertaal waarmee een groot deel van de software en websites ter wereld is gebouwd. Ook veel zorgsoftware draait erop, denk aan een patiëntenportaal, de website van uw praktijk of apotheek, of een nummersysteem in de wachtruimte. De twee lekken zitten niet in één specifiek product, maar in de taal zelf. Daardoor zijn vrijwel alle PHP-versies van de afgelopen veertien jaar kwetsbaar.

Wie zo'n lek misbruikt, kan vanaf internet code uitvoeren op de server waar de software op draait. Daar is geen wachtwoord of inloggegeven voor nodig. Het maakt ook niet uit hoe goed het programma zelf in elkaar zit: de fout zit onder het programma, in de "motor" waarop het draait.

Wat zijn de risico's?

In het slechtste geval neemt iemand die het lek misbruikt de server over. Daarmee kan die persoon bij gegevens die daarop staan, zoals patiëntengegevens of receptinformatie, systemen platleggen of verder het netwerk in komen. Er zijn al misbruikpogingen op het internet waargenomen, en enkele overheidsorganisaties, ook in Nederland, hebben als voorzorg websites tijdelijk offline gehaald.

Het PHP-project heeft voor de nieuwste versies (8.2 tot en met 8.5) een update uitgebracht die de lekken dicht. Voor oudere versies verschijnen geen updates meer; die worden niet meer onderhouden. Software die daarop draait, is tegen deze lekken niet meer goed te beveiligen.

Wat vragen we u?

U kunt zelf niet controleren welke PHP-versie een softwarepakket gebruikt; dat zit diep in de techniek en dat is ook niet uw werk. Het beste dat u kunt doen, is de vraag stellen aan de leverancier. Dit geldt voor elk softwarepakket dat u naast onze producten gebruikt. U zou bijvoorbeeld kunnen vragen:

• Op welke PHP-versie draait uw software?
• Hebt u de noodupdate van 21 oktober toegepast (PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12)?
• Draait uw software op een oudere versie? Wat is dan uw plan om dit op te lossen?
• Hoe regelt u het melden en oplossen van beveiligingsproblemen?

Een leverancier die deze vragen vlot en helder beantwoordt, houdt zijn software doorgaans goed bij. Blijft een antwoord uit of blijft het vaag, dan is dat een reden om daar als organisatie extra op toe te zien.

Deze mail is een algemene waarschuwing, geen melding dat er bij uw leveranciers iets mis is. Het is wel een goed moment om even na te vragen. Merkt u een storing of iets ongebruikelijks, volg dan de meldprocedure van uw organisatie en neem zo nodig contact op met de betreffende leverancier.

Wij houden u ook via het klantenportaal op de hoogte. Hebt u naar aanleiding van deze mail vragen, dan beantwoorden wij die graag via het klantenportaal. 

En vergeet ook uw eigen website niet.

Met vriendelijke groet,

CompuGroup Medical Nederland