PHP-beveiligingslek: zes uur offline, miljoenen gebruikers en een klein team dat het verschil maakte

In het kort

• Door een kritiek beveiligingslek in PHP ging MijnOverheid uit voorzorg offline.

• Dankzij structureel softwareonderhoud waren de PHP-installaties binnen enkele minuten gepatcht.

• Een klein team met korte lijnen testte, controleerde de logging en besloot samen om de dienst weer live te zetten.

• Na bijna zes uur was MijnOverheid kort na 18.00 uur weer bereikbaar, zonder onverwachte fouten.

De eerste signalen

Dinsdagavond, rond 22.00 uur, zag ik de eerste berichten verschijnen over een ernstig beveiligingsprobleem in PHP. Hoewel er op dat moment inhoudelijk nog weinig bekend was, had ik al een vermoeden: morgen moeten we aan de bak.

Eigenlijk had ik woensdagochtend vrij. Toch ging ik vroeg uit bed om alvast een bericht aan mijn collega's op te stellen en een Jira-ticket aan te maken. Zo konden we de ontwikkelingen volgen, onze acties vastleggen en zorgen voor een goede audittrail. Op dat moment was nog niet duidelijk hoe groot de impact zou zijn. Dat veranderde in de loop van de ochtend.

Een bewuste keuze voor veiligheid

Tijdens mijn afwezigheid werd besloten om MijnOverheid uit voorzorg offline te halen. Een ingrijpende maatregel voor een dienst waar miljoenen Nederlanders op vertrouwen, maar de veiligheid van die dienstverlening staat voorop. De beveiligingspatch zou pas om 16.00 uur beschikbaar komen. Tot die tijd was het vooral een kwestie van voorbereiden, monitoren en wachten.

Onze operationeel beheerders en systeemteams hielden ondertussen het netwerkverkeer nauwlettend in de gaten. Het was een bijzonder gezicht: waar normaal gesproken continu verkeer binnenkomt, was het nu vrijwel stil. Alleen onze geautomatiseerde processen bleven op de achtergrond gewoon doorgaan. Een bijzondere gewaarwording om de productie logging overdag zo stil te zien vallen.

Goed onderhoud betaalt zich uit

Toen de patch beschikbaar kwam, konden we direct aan de slag. En hier bleek hoe waardevol het is om structureel aandacht te besteden aan softwareonderhoud. Binnen MijnOverheid voeren we regelmatig patches en updates uit. Niet alleen kleine beveiligingsupdates, maar ook grotere upgrades naar nieuwe minor- en majorversies. Daarmee houden we onze software actueel en zorgen we ervoor dat we niet achteropraken.

De procedures en scripts om dergelijke updates uit te voeren, lagen dan ook bijna letterlijk op de plank.

Het resultaat? De PHP-installaties op onze servers waren binnen enkele minuten gepatcht.

Geen ingewikkelde migratietrajecten of onverwachte compatibiliteitsproblemen. Gewoon een vertrouwd proces dat ook onder tijdsdruk werkte zoals bedoeld.

Dat betekent overigens niet dat we daarmee klaar waren. Een succesvolle patch is immers pas het begin. Vervolgens moet je vaststellen dat de dienstverlening nog steeds functioneert zoals verwacht.

Een klein, maar krachtig gezelschap

Tijdens het patchen en testen zaten we met alle betrokkenen in een gezamenlijke call.

Het was geen groot gezelschap, maar wel een bijzonder effectief gezelschap. Alle benodigde kennis en expertise waren vertegenwoordigd. Iedereen wist wat er moest gebeuren en had de volledige focus op hetzelfde doel: MijnOverheid zo snel mogelijk weer veilig beschikbaar maken.

Wat mij vooral bijbleef, was de snelheid waarmee alles verliep.

Nauwelijks waren de omgevingen gepatcht of iedereen ging direct aan de slag met testen en het controleren van de logging. Dankzij de ervaring van alle betrokkenen konden we vlot van acceptatie naar productie.

Er waren geen grote technische obstakels. We hadden de juiste middelen, de juiste mensen en het vertrouwen in elkaars expertise.

En misschien nog wel belangrijker: we konden binnen dezelfde groep gezamenlijk het besluit nemen om MijnOverheid weer bereikbaar te maken. Geen onnodige vertraging, maar korte lijnen, duidelijke communicatie en gezamenlijk verantwoordelijkheid nemen.

En toen stroomde het verkeer weer binnen

Kort na 18.00 uur was het zover. Na bijna zes uur uit voorzorg offline te zijn geweest, was MijnOverheid weer bereikbaar.

Vrijwel direct zagen we het verkeer toenemen. In de eerste minuten logden alweer talloze mensen in op MijnOverheid. Terwijl het verkeer weer op gang kwam, hielden we gezamenlijk de logging nauwlettend in de gaten. Alles verliep zoals verwacht. Geen onverwachte fouten of nieuwe verrassingen. De dienstverlening functioneerde weer zoals het hoorde.

Na nog een laatste controle was alles weer in orde. We bedankten elkaar voor de inzet, de hulp en vooral de fijne samenwerking. Voor iedereen was het tijd voor een welverdiende maaltijd en wat rust.

De belangrijkste les: blijf je software bijwerken

Deze gebeurtenis onderstreept voor mij nog maar eens waarom het zo belangrijk is om software structureel up-to-date te houden. Het installeren van een beveiligingspatch kan relatief eenvoudig zijn, mits je de juiste voorbereidingen hebt getroffen.

Maar wat als je softwareversie niet meer wordt ondersteund? Wat als er geen beveiligingspatch meer voor beschikbaar komt? Dan sta je op een moment waarop iedere minuut telt ineens voor een heel andere uitdaging. Je moet mogelijk eerst een grotere upgrade uitvoeren, met alle afhankelijkheden, compatibiliteitsproblemen en extra testwerk van dien. Dit is precies wat je tijdens een beveiligingsincident wilt voorkomen.

Door regelmatig te patchen én grotere upgrades niet voor je uit te schuiven, verklein je de kans dat je op het slechtst denkbare moment voor verrassingen komt te staan. Regelmatig updaten is geen luxe, maar noodzaak. Wat er woensdag gebeurde, maakte dat nog maar eens pijnlijk duidelijk.

Trots op wat we samen hebben bereikt

Als ik terugkijk op die woensdag, overheerst vooral trots. Niet omdat we een uitzonderlijk ingewikkeld technisch probleem hebben opgelost, maar juist omdat we dankzij onze voorbereiding, ervaring en samenwerking in staat waren om snel en gecontroleerd te handelen.

Het patchen zelf duurde slechts minuten. De echte kracht zat in alles wat daaraan voorafging: het consequent onderhouden van onze software, het investeren in betrouwbare procedures en het opbouwen van een team dat op elkaar kan vertrouwen.

Met een relatief klein team hebben we samen een groot resultaat neergezet voor een dienst waar miljoenen Nederlanders op vertrouwen. En dat is voor mij misschien wel de mooiste conclusie van deze dag: goede techniek en goed onderhoud leggen de basis, maar uiteindelijk zijn het de mensen die het verschil maken.