Hoe werk je software bijwerken om je website veilig te houden?
Je website draait op software die anderen hebben gemaakt. Die software heeft fouten, en sommige fouten zijn gevaarlijk. Software bijwerken betekent: je vervangt oude software door een nieuwere versie waarin die fouten zijn opgelost. Zo houd je je website veilig.
Wat is een software-update?
Een software-update (ook wel versie-update of patch) is een nieuwe versie van een programma. De makers hebben fouten gerepareerd en soms nieuwe functies toegevoegd. Een beveiligingsupdate is een update die een gat dicht. Zo'n gat noemen we een kwetsbaarheid (Engels: vulnerability).
Denk aan een huis met een slot dat niet goed sluit. Zodra de maker dat hoort, maakt hij een nieuw slot. Blijf je het oude slot gebruiken, dan kan een inbreker het openen. Een software-update is het nieuwe slot.
Elke versie van software heeft een nummer, bijvoorbeeld 8.3.1. Het eerste getal is de hoofdversie, de andere getallen zijn kleinere wijzigingen. Hoe hoger het nummer, hoe nieuwer de versie.
Waarom is oude software gevaarlijk?
Aanvallers zoeken niet alleen naar nieuwe fouten. Ze zoeken ook naar bekende fouten die nog niet zijn bijgewerkt. Er bestaan programma's die het hele internet afspeuren op oude versies van software. Zodra een lek bekend wordt, weten die programma's binnen enkele uren welke websites kwetsbaar zijn.
Stel je voor dat je weet dat een slot van een bepaald merk kapot is. Je zoekt naar alle huizen met dat slot. Zo werkt een aanvaller ook. Hoe langer je wacht met bijwerken, hoe groter de kans dat iemand je website vindt.
Wat moet je bijwerken?
Een website bestaat uit meerdere lagen. Elke laag kan een lek hebben. Let op deze vier onderdelen:
| Onderdeel | Voorbeeld | Waarom belangrijk |
|---|---|---|
| Programmeertaal | PHP, Node.js | Hier draait je code op |
| Framework en pakketten | React, Next.js, npm-pakketten | Bouwstenen die je zelf niet hebt geschreven |
| CMS en plugins | WordPress, Joomla, hun plugins | Vaak door veel mensen gebruikt, dus populair bij aanvallers |
| Hostingomgeving | Server of hostingplatform | Het systeem waarop je site draait |
Gebruik je geen CMS? Dan kun je de eerste drie rijen het best nakijken. Heb je een eigen server? Dan hoort de vierde rij ook op je lijst.
Hoe werk je de programmeertaal bij?
Een programmeertaal is de basis van je code. Als die taal een lek heeft, kan een aanvaller daar in één keer binnenkomen. Werk de taal altijd bij naar een versie die nog ondersteund wordt. Oudere versies krijgen geen beveiligingsupdates meer.
Hoe werk je pakketten bij?
Je gebruikt waarschijnlijk pakketten van anderen. Met een package manager (een hulpprogramma dat pakketten voor je installeert) haal je die bouwstenen binnen. Leer er meer over op de pagina Wat is een package manager en waarom heb je er een nodig?
Hoe controleer je welke versie je gebruikt?
Open de terminal en typ het commando voor de software die je gebruikt. Zo zie je welke versie er draait.
php -v
node --version
npm --version
Het resultaat ziet er bijvoorbeeld zo uit:
PHP 8.3.1 (cli)
v20.11.0
10.2.4
Weet je niet hoe je de terminal opent? Dat leer je stap voor stap in de introductie. Begin met node --version, want dat commando werkt op elke computer waarop je Node.js hebt geïnstalleerd.
Hoe blijf je op de hoogte van updates?
Je hoeft niet elke dag zelf te zoeken. Er zijn vier manieren om op de hoogte te blijven.
1. Abonneer je op release notes
Elke softwaremaker publiceert release notes: een overzicht van wat er in een nieuwe versie zit. Vaak kun je je op de site van de maker abonneren of een melding krijgen via GitHub. Bekijk de bronnen zelf:
2. Zet automatische updates aan
Veel hostingplatformen werken updates automatisch bij. Kijk in het dashboard van je hostingdienst of die optie aanstaat. Bij Vercel draait je site bijvoorbeeld op een beheerde omgeving die zelf veel veiligheidsonderhoud doet. Controleer toch zelf of je code niet achterloopt.
3. Controleer je pakketten met npm audit
Het commando npm audit zoekt in je project naar bekende lekken in de pakketten die je gebruikt. Het geeft ook aan of er een oplossing is.
npm audit
Zie je een melding met het woord high of critical? Dan is dat een signaal om snel te handelen. Zie je alleen low? Dan kun je het later oplossen. Lees de npm audit documentatie voor de details.
4. Zoek verouderde pakketten met npm outdated
Het commando npm outdated laat zien welke pakketten een nieuwere versie hebben.
npm outdated
Een verouderd pakket hoeft niet meteen gevaarlijk te zijn. Het is wel een goed moment om te kijken of er een update is. Zie de npm outdated documentatie.
Doe elke maand een korte controle: node --version, npm audit en npm outdated. Zo voorkom je dat je een half jaar achterloopt.
Wat doe je als er een ernstig lek bekend wordt?
Soms maakt een bedrijf of overheidsorganisatie een lek bekend dat grote gevolgen kan hebben. Dan moet je snel handelen. Dat is precies wat er in oktober 2026 gebeurde.
Volgens het NOS-liveblog van 21 oktober 2026 werden twee ernstige lekken gevonden in de programmeertaal PHP. Ongeveer 70 procent van alle websites gebruikt PHP of een variant daarvan. Grote organisaties haalden hun sites offline als voorzorg, zoals DigiD, MijnOverheid, RTL en Tweakers. Ze kwamen weer online zodra de update uit was.
Het Nationaal Cyber Security Centrum (NCSC) zag nog geen actief misbruik. Toch drong het aan op een snelle update. Het NCSC zei dat elk systeem met PHP dat vanaf het internet bereikbaar is, waarschijnlijk kwetsbaar is tot het is bijgewerkt.
Zo kun je zelf handelen:
- Controleer of je de software gebruikt. Gebruik je PHP, Node.js of een pakket dat getroffen is? Kijk in het nieuws of de maker de lijst met getroffen versies deelt.
- Installeer de update zo snel mogelijk. Wacht niet tot het weekend of tot je een "goed moment" hebt.
- Kun je niet snel updaten? Overweeg de site tijdelijk offline te halen. Het NCSC noemde dit als alternatief. Een tijdelijk offline site is vervelend, maar een gehackte site is erger.
- Blijf op de hoogte. Het NCSC geeft actuele adviezen op ncsc.nl.
Het NCSC noemde deze situatie "een fout in de software die kan voorkomen", geen aanval. Een lek betekent dat iemand de fout kan misbruiken. Het betekent niet dat dat al gebeurd is. Juist daarom is snel updaten zo belangrijk.
De PHP Foundation, de organisatie achter PHP, zei dat de oplossing later kwam dan gewenst. Ze passen hun werkwijze aan. Beveiligingsbedrijf Wiz zei dat de lekken al meer dan tien jaar bestonden en met AI zijn gevonden. Ook criminelen kunnen AI gebruiken om lekken sneller te misbruiken. Dat maakt snel bijwerken nog belangrijker.
Welke lessen trek je hieruit?
Er zijn twee lessen die voor elke website gelden:
- Weet welke software je gebruikt en welke versie. Je kunt niet bijwerken wat je niet kent.
- Werk bekende updates snel bij. Een lek dat al bekend is, is het gevaarlijkst op het moment dat je het nog niet hebt opgelost.
Veiligheid is geen eenmalige klus. Het hoort bij het onderhouden van je website, net als het bijwerken van een fiets of het vervangen van een batterij in je rookmelder.
Hoe past dit bij de rest van de beveiliging?
Software bijwerken is één laag. Die lagen werken samen:
- Met een Content Security Policy bepaal je welke scripts een browser mag laden.
- Met HTTPS versleutel je het verkeer tussen bezoeker en server.
- Met omgevingsvariabelen bewaar je geheime sleutels veilig.
Geen van deze lagen maakt een verouderde server veilig. Daarom past updaten altijd bovenaan je lijst.
Schrijf op een papiertje of in een notitie op: welke programmeertaal, welke pakketten, welk CMS en welke hostingdienst gebruik ik? Controleer die lijst elke maand. Zo weet je bij een nieuw nieuwsbericht direct of je geraakt bent.
Je hoeft geen beveiligingsexpert te zijn om je website veilig te houden. Met een vaste routine en een snelle reactie op nieuws zet je al een grote stap. Blijf leren, en je website wordt elke maand een beetje sterker.