Kort gezegd: Een websiteonderhoudscontract met beveiligingsfocus zorgt ervoor dat updates, back-ups en bewaking niet van het toeval afhangen. Wij begeleiden uw websites en PHP-servers duurzaam, houden de stand actueel, testen het herstel en reageren volgens een afgesproken verloop wanneer een nieuw lek bekend wordt. U ontvangt regelmatig een begrijpelijk rapport.
Waarom beveiliging in het websiteonderhoudscontract hoort
Veel onderhoudscontracten dekken CMS-updates en houden daar op. PHP2Shell heeft laten zien dat dat niet volstaat: de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 zitten in PHP zelf, niet in het CMS. Een WordPress- of Shopware-update dicht ze niet. Wie alleen het CMS onderhoudt, heeft het eigenlijke gevaar niet in beeld.
Daar komt de factor tijd bij. Tussen de voorafgaande aankondiging door php.net op 20 oktober 2026 en de publicatie van de patches op 21 oktober zat één dag; volgens berichten in de media was er al op 17 oktober een eerste waargenomen aanvalspoging. In zulke situaties helpt alleen een verloop dat van tevoren vaststaat, en iemand die toegang heeft en weet welke systemen zijn getroffen. Wie pas in het ergste geval toegangsgegevens zoekt, dienstverleners belt en verantwoordelijkheden uitzoekt, verliest precies de tijd die aanvallers gebruiken.
Een ander punt wordt vaak onderschat: back-ups die nooit zijn teruggezet, zijn een belofte zonder bewijs. Pas een herstelproef laat zien of een back-up volledig is en hoe lang de terugkeer naar de bedrijfsvoering werkelijk duurt.
Voor wie een beveiligingsonderhoudscontract loont
Een onderhoudscontract met beveiligingsfocus past vooral bij bedrijven waarvan de website of shop bedrijfskritisch is, maar die geen eigen beheer voor servers en PHP hebben. Typisch zijn webwinkels, praktijken, kantoren en middelgrote bedrijven met klantenportalen, maar ook overheidsinstanties met meerdere webpresentaties.
Even zinvol is het als de verantwoordelijkheid nu over veel schouders is verdeeld: een bureau heeft de website gebouwd, een hoster levert de server, een voormalige medewerker kende de toegangen. In zulke constellaties blijkt bij situaties als PHP2Shell snel dat niemand duidelijk verantwoordelijk is. Het contract schept een vaste plek die op de hoogte is en mag handelen.
Voor één enkele, kleine website zonder formulieren of klantgegevens kan een slankere omvang volstaan. Dat bespreken we bij de inventarisatie.
Wat het beveiligingsonderhoudscontract omvat
- Updates: besturingssysteem, webserver, PHP, CMS, extensies en afhankelijkheden, volgens een vast ritme en aanvullend bij kritieke lekken
- Herstart en bewijs: na PHP-updates herstart van alle workers met controle dat er geen oude processen draaien
- Back-ups: volgens de 3-2-1-regel, met regelmatige herstelproef. De basis staat onder Back-ups volgens de 3-2-1-regel.
- Bewaking: bestandsintegriteit, aanmeldingen, processen en logs, zoals beschreven onder Security-monitoring voor webservers
- Levenscyclus: tijdige planning voordat een PHP-versie het einde van de ondersteuning bereikt, bijvoorbeeld PHP 8.2 op 31 december 2026
- Noodverloop: afgestemde stappen voor het ergste geval, toegangen en aanspreekpunten die bij een incident direct bekend zijn
- Rapport: regelmatige samenvatting met geïnstalleerde updates, gebeurtenissen en aanbevelingen
Wie is waarvoor verantwoordelijk?
Veel beveiligingslekken ontstaan niet technisch, maar organisatorisch: iedereen denkt dat een ander het oppakt. Daarom leggen wij de verantwoordelijkheden schriftelijk vast. Een typisch voorbeeld:
| Taak | Hoster | Bureau | PHP SOS | U |
|---|---|---|---|---|
| Hardware, netwerk, datacenter | ja | |||
| Besturingssysteem en PHP-updates | afhankelijk van contract | ja | ||
| CMS en extensies | ja | in overleg | ||
| Inhoud en gebruikersaccounts | ja | |||
| Bewaking en noodverloop | ja | goedkeuringen |
De werkelijke verdeling hangt af van uw contracten. Vooral bij managed servers loont een precieze blik op wat de aanbieder echt overneemt, zie Managed server: verantwoordelijkheid uitzoeken. Bureaus met veel klantsites vinden een passend model onder Beveiligingspartner voor bureaus.
Hoe helpt PHP SOS concreet?
- Inventarisatie: wij leggen alle websites, servers, versies, toegangen, back-ups en bestaande contracten vast.
- Eerste beveiliging: openstaande updates en bekende zwakke plekken worden eerst gedicht, voordat de doorlopende begeleiding begint.
- Overeenkomst: wij leggen omvang, ritme, verantwoordelijkheden en het noodverloop schriftelijk vast, ook de vraag wanneer u vóór wijzigingen wordt geraadpleegd.
- Doorlopende begeleiding: updates, back-ups, bewaking en rapporten volgens plan, bij kritieke lekken aanvullend volgens het afgesproken noodverloop.
- Jaarlijkse toetsing: we controleren samen of het contract nog bij uw systeemlandschap past.
Wat wij nodig hebben en wat we niet beloven
Wij hebben duurzame administratieve toegangen nodig, een aanspreekpersoon met beslissingsbevoegdheid, contact met hoster en bureau en informatie over geplande wijzigingen aan uw toepassingen. Toegangen beheren we per klant gescheiden en we documenteren wie toegang heeft. Plant u wijzigingen aan uw systemen, bijvoorbeeld een nieuwe shop, een extra website of een wissel van hoster, laat het ons dan vroeg weten, zodat updates, back-ups en bewaking meegroeien.
Wij beloven niet dat uw systemen nooit worden aangevallen. Een onderhoudscontract verlaagt het risico en zorgt ervoor dat er in het ergste geval snel en ordelijk wordt gehandeld. Prijzen en reactietijden noemen we niet algemeen, maar leggen we na de inventarisatie vast in de offerte. Hoe u het ergste geval aanvullend organisatorisch voorbereidt, beschrijft IT-noodplan voor webservers opstellen.
Veelgestelde vragen
Wat hoort in een websiteonderhoudscontract met beveiligingsfocus?
Minstens updates voor server, PHP, CMS en extensies, regelmatige back-ups met herstelproef, een beveiligingsbewaking en een duidelijke regeling voor noodgevallen. Belangrijk is ook schriftelijk vast te leggen wie waarvoor verantwoordelijk is.
Vervangt het onderhoudscontract mijn bureau of mijn hoster?
Niet per se. Vaak werken wij samen met bureau en hoster en nemen we het beveiligingsdeel over. Beslissend is dat de verantwoordelijkheden sluitend zijn verdeeld en niets tussen de betrokkenen blijft liggen.
Wat gebeurt er als een kritiek lek als PHP2Shell bekend wordt?
Dan controleren we welke van uw systemen zijn getroffen, installeren updates volgens het afgesproken verloop of voeren overbruggingsmaatregelen door en houden u op de hoogte van de stand. Hoe snel dat gebeurt, leggen we samen in het contract vast.
Is er een vaste prijs?
De omvang hangt af van het aantal en de soort van uw systemen. Na een inventarisatie maken wij een offerte die precies beschrijft wat erin zit.