Twee kritieke lekken in PHP: ‘Bijna 1 op de 3 mkb-websites draait verouderde software’
Toen woensdag twee kritieke lekken in PHP bekend werden, gingen de websites van de Tweede Kamer en MijnOverheid uit voorzorg offline. Bij het mkb blijven zulke lekken vaak openstaan: bijna een op de drie websites van de mkb-bedrijven draait verouderde software.
Dat blijkt uit metingen van webbureau Bureau Imago bij 1.280 mkb-bedrijven in de dagen na het lek. Ruim de helft van die bedrijven (57 procent) heeft een WordPress-site.
Bij 44 procent daarvan loopt minstens één plugin een versie achter, bij 23 procent zelfs een hele hoofdversie. En op 31 december stopt ook de ondersteuning voor PHP 8.2. Vanaf 1 januari draaien daardoor ruim 800.000 Nederlandse websites op een PHP-versie zonder updates.
Update na lek PHP
„Grote organisaties hebben een IT-afdeling die zo’n update dezelfde dag doorvoert,” zegt Sylvester Bongers van Bureau Imago. „Bij de kapper of het administratiekantoor staat de site er vaak nog zoals hij jaren geleden is opgeleverd. Wie hem veilig wil houden, moet steeds WordPress, de plugins en het thema bijwerken, en om de paar jaar ook PHP. Bij een oude site gaat daarbij vaak iets stuk. Dat is een strijd tegen de klok die een ondernemer niet kan winnen.”
“Wie de site veilig wil houden, moet steeds WordPress, de plugins en het thema bijwerken, en om de paar jaar ook PHP”
Sylvester Bongers Bureau Imago
Elke branche mkb hetzelfde beeld
In alle twaalf gemeten branches draait volgens de onderzoekers een vijfde tot ruim een derde van de sites verouderde software. Advocatenkantoren (36 procent), dakdekkers (35 procent), hoveniers (34 procent) en tandartspraktijken (34 procent) scoren het slechtst. Kapsalons (32 procent), fysiotherapeuten (31 procent), elektriciens (31 procent) en accountantskantoren (31 procent) zitten daar vlak achter. Restaurants (21 procent) doen het het best.
Enkele cijfers uit het mkb:
57 procent van de mkb-websites draait op WordPress.
44 procent van die WordPress-sites heeft een plugin die minstens een versie achterloopt; 23 procent een plugin die een hele hoofdversie achterloopt.
4 procent draait een plugin die WordPress.org om veiligheidsredenen heeft verwijderd. Voor zo’n plugin komt geen update meer.
15 procent van de WordPress-sites die hun versie tonen, draait een WordPress-versie die WordPress.org zelf als onveilig aanmerkt.
8 procent van alle mkb-sites draait zichtbaar op PHP zonder updates. Van de sites die hun PHP-versie laten zien, is dat ruim een kwart.
Op 1 januari draait zes op de tien WordPress-sites op PHP zonder updates (WordPress.org). In Nederland zijn dat ruim 800.000 websites, wereldwijd ruim 50 miljoen.
Onderhoud houdt het niet meer bij
Jarenlang konden ondernemers wegkomen met een site die werd gebouwd en daarna zelden werd bijgewerkt. Volgens Bureau Imago kan dat niet meer nu aanvallers AI gebruiken om lekken sneller te vinden en te misbruiken. Een WordPress-site die je laat bouwen en daarna laat staan, is in het AI-tijdperk niet langer houdbaar.
„Je kunt zo’n site blijven oplappen,” zegt Sylvester. „Wij denken dat opnieuw bouwen, zonder WordPress, voor de meeste ondernemers de betere keuze is.” Bureau Imago onlangs Resite Now, een dienst die een bestaande WordPress-site in een paar uur opnieuw bouwt.
Zo kan je zelf controleren
Ondernemers met een WordPress-site zien onder Dashboard, Updates welke onderdelen achterlopen. De PHP-versie staat onder Gereedschap, Sitestatus, Info, Server, of in de klantomgeving van de hoster. Staat er 8.2 of lager, dan is het verstandig om de webbouwer of hoster te vragen wat de route is. Wie geen toegang heeft tot WordPress of de klantomgeving van de hoster, kan het webadres gratis laten nakijken, onder meer via deze link.
