Blijven investeren in informatiebeveiliging
Vorige week werd Nederland opgeschrikt door een groot PHP-lek. Uit voorzorg hebben wij een aantal onderdelen offline gehaald. Vervolgens hebben wij direct samen met onze IT-partners de benodigde beveiligingsupdates doorgevoerd en alles gecontroleerd. Al onze systemen waren vrij snel gepatcht en weer volledig online. Er is niets gemist en de gegevens van opdrachtgevers en klanten zijn veilig gebleven. In deze blog leest u wat er precies aan de hand was, hoe wij hebben gehandeld en waarom wij blijven investeren in informatiebeveiliging.
Wat is PHP?
PHP is een programmeertaal die op de achtergrond van een website draait, op de server. U ziet het zelf niet, maar u gebruikt het voortdurend. PHP zorgt ervoor dat u kunt inloggen, dat een formulier wordt verwerkt en dat een website gegevens uit een database kan ophalen.
Vergelijk een website met een restaurant. De pagina die u ziet is de eetzaal; PHP is de keuken waar uw bestelling wordt klaargemaakt. Volgens de PHP Foundation draait circa 70% van alle websites op PHP of een variant daarvan, waaronder sites gebouwd met WordPress, Drupal of Magento. Een lek in PHP raakt daarom niet één website, maar een groot deel van het internet tegelijk.
Wat er vorige week gebeurde
Op woensdag 21 oktober 2026 meldde het Nationaal Cyber Security Centrum (NCSC) twee ernstige kwetsbaarheden in PHP. Via deze lekken konden kwaadwillenden in theorie elke webserver met PHP aanvallen, zonder dat ze daarvoor inloggegevens nodig hadden.
De kwetsbaarheden waren al sinds augustus bekend bij de makers van PHP, die werkten aan een oplossing. Op 20 oktober lekten de technische details echter voortijdig uit. Vanaf dat moment kon iedereen meelezen, ook criminelen.
Het NCSC adviseerde organisaties om een eigen risicoafweging te maken en websites eventueel preventief offline te halen. Veel organisaties deden dat, waaronder DigiD, MijnOverheid, de Tweede Kamer, RTL Nieuws en meerdere gemeenten. Rond 16.00 uur verscheen de beveiligingsupdate en kwamen de websites geleidelijk terug.
Belangrijk om te weten: niet elke website die offline ging, was ook gehackt. Op 21 oktober zag het NCSC nog geen signalen van actief misbruik. Offline gaan was vooral een verstandige voorzorgsmaatregel.
Hoe Ultimoo heeft gehandeld
Zodra de kwetsbaarheden bekend werden, hebben wij direct gehandeld volgens het advies van het NCSC. Onze aanpak bestond uit drie stappen:
- Preventief offline. Systemen die mogelijk kwetsbaar waren, hebben wij uit voorzorg tijdelijk offline gehaald. Zo gaven we aanvallers geen kans.
- Direct patchen. Samen met onze IT-partners hebben wij de beveiligingsupdates doorgevoerd zodra die beschikbaar waren.
- Controleren en weer online. Pas na een zorgvuldige controle zijn de systemen weer online gegaan. Er is niets gemist.
Op het moment dat het lek bekend werd, hebben we in samenspraak met al onze technische partijen snel geschakeld. Iedereen wist precies wat er moest gebeuren. Daardoor konden we de systemen veilig offline halen, patchen en weer online brengen, zonder dat er iets is misgegaan. • Marko Koffeman, Manager ICT bij Ultimoo
Voor u als opdrachtgever of partner betekent dit: uw gegevens en die van uw debiteuren zijn op geen enkel moment in gevaar geweest. U hoeft zelf niets te doen met betrekking tot uw samenwerking met Ultimoo.
Waarom wij blijven investeren in informatiebeveiliging
Dat dit incident goed is verlopen, is geen toeval. Snel kunnen schakelen lukt alleen als de basis op orde is. Zoals systemen die up-to-date zijn, vaste afspraken met technische partners en medewerkers die weten wat ze moeten doen. Als incassobureau werken wij dagelijks met gevoelige financiële gegevens van opdrachtgevers en debiteuren. Die verantwoordelijkheid nemen wij serieus.
Dit soort incidenten zal vaker voorkomen. De lekken in PHP werden mede gevonden met behulp van AI. Dat helpt beveiligingsexperts om fouten sneller op te sporen, maar maakt het ook voor criminelen makkelijker om zwakke plekken te misbruiken. Een patch dicht bovendien wel het lek, maar draait een eerdere inbraak niet terug. Daarom is informatiebeveiliging geen eenmalig project, maar een doorlopend proces.
Techniek én mensen
Techniek is maar de helft van het verhaal. Volgens Guardey ontstaat het overgrote deel van alle hacks en datalekken door menselijke fouten, zoals het klikken op een phishingmail. Juist na een groot incident als dit proberen criminelen daarvan te profiteren, bijvoorbeeld met nepmails over een 'dringende update'.
Daarom trainen alle medewerkers van Ultimoo via Guardey, een Nederlands platform voor security awareness. Met korte, interactieve lessen en phishingsimulaties leren onze collega's verdachte berichten herkennen en melden. Wij stimuleren deelname actief en belonen die met een incentive. Het resultaat: de deelname ligt boven de 98%.
Wat kunt u zelf doen?
Draait uw eigen website of webwinkel op PHP? Dan is dit een goed moment om een paar dingen na te lopen:
- Vraag uw websitebouwer of hostingpartij of de beveiligingsupdate is doorgevoerd en op welke PHP-versie uw site draait. Voor PHP 8.1 en ouder komen geen updates meer.
- Laat controleren of er vóór de update iemand binnen is geweest. Een patch sluit het lek, maar verwijdert geen eventuele achterdeur.
- Wees alert op phishing. Ontvangt u een mail over een 'dringende update' met een inloglink? Klik niet, maar neem zelf contact op met de afzender via bij u bekende gegevens.
- Zorg voor de basis: tweefactorauthenticatie op belangrijke accounts en een back-up die u ook echt kunt terugzetten.
Heeft u vragen over de beveiliging van uw gegevens bij Ultimoo? Neem gerust contact op met uw vaste contactpersoon. Wij leggen graag uit hoe wij uw gegevens beschermen.
