Op 21 oktober 2026 heeft het PHP-project noodupdates uitgebracht voor twee kritieke kwetsbaarheden. Epa Storage gebruikt geen PHP in zijn applicatiestack. De twee PHP-specifieke kwetsbaarheden zijn daarom niet van toepassing op de runtime waarop Epa Storage draait.

We delen deze update omdat verschillende websites en diensten uit voorzorg tijdelijk offline zijn gehaald en daar begrijpelijkerwijs vragen over ontstaan. We houden de uitleg bewust op hoofdlijnen en publiceren geen informatie die misbruik eenvoudiger kan maken.

Wat is er met PHP gebeurd?

Het officiële PHP-project heeft nieuwe versies gepubliceerd die twee kritieke beveiligingsproblemen oplossen. Volgens het PHP-beveiligingsbericht konden de kwetsbaarheden onder bepaalde omstandigheden ongeauthenticeerde uitvoering van code mogelijk maken. De Britse National Cyber Security Centre adviseerde organisaties om internetgerichte PHP-systemen direct te inventariseren, te monitoren en bij te werken.

Een aantal organisaties en hostingproviders koos ervoor PHP-websites tijdelijk uit te schakelen totdat de updates waren toegepast. Zo'n voorzorgsmaatregel betekent niet automatisch dat een organisatie daadwerkelijk is gehackt of dat gegevens zijn buitgemaakt.

Is Epa Storage hierdoor geraakt?

Deze specifieke PHP-kwetsbaarheden zijn niet van toepassing op de Epa Storage-applicatieruntime. Epa Storage is gebouwd met ASP.NET Core op .NET 10 en draait op Microsoft Azure. PHP maakt geen deel uit van de applicatiestack waarmee het platform verzoeken verwerkt.

Dat is een afgebakende technische conclusie, geen claim dat software ooit volledig zonder risico is. Iedere technologie kan nieuwe kwetsbaarheden krijgen. Het verschil wordt gemaakt door ondersteunde software te gebruiken, beveiligingsmeldingen te volgen, updates zorgvuldig uit te rollen en meerdere beveiligingslagen toe te passen.

Waarom wij kiezen voor een ondersteunde Microsoft-stack

.NET 10 is een actieve Long Term Support-versie van Microsoft. ASP.NET Core biedt voorzieningen voor onder meer authenticatie, autorisatie, gegevensbescherming en HTTPS. Microsoft Azure App Service voegt daar platformmaatregelen en mogelijkheden voor toegangsbeheer, versleuteling, logging en monitoring aan toe.

De keuze voor moderne, ondersteunde technologie is belangrijk, maar nooit voldoende op zichzelf. Veiligheid vraagt ook om veilig ontwerp, zorgvuldig beheer en tijdige reactie wanneer leveranciers nieuwe beveiligingsinformatie publiceren.

Hoe Epa Storage met veiligheid omgaat

Onze aanpak bestaat uit meerdere lagen:

  • Ondersteunde runtime: de backend draait op de actieve .NET 10 LTS-generatie.
  • Patchdiscipline: beveiligingsupdates en afhankelijkheden worden gevolgd en gecontroleerd verwerkt.
  • Toegangscontrole: rollen en rechten beperken toegang tot gegevens en functies.
  • Bescherming van gegevens: verbindingen en opgeslagen gegevens worden met passende Azure-voorzieningen beveiligd.
  • Monitoring en herstel: monitoring en back-ups ondersteunen detectie en herstel bij incidenten.

Uit veiligheidsoverwegingen publiceren we geen operationele configuraties, interne controles of technische details over onze infrastructuur. Op onze pagina over veiligheid en BRL 9500-compliance beschrijven we wel transparant de uitgangspunten die voor klanten relevant zijn.

Moeten gebruikers iets doen?

Voor dit PHP-incident hoeven Epa Storage-gebruikers geen specifieke actie uit te voeren. Goede algemene beveiligingsgewoonten blijven natuurlijk belangrijk: gebruik een uniek wachtwoord, deel accounts niet en meld onverwachte accountactiviteit via het normale contactkanaal.

Veelgestelde vragen

Gebruikt Epa Storage PHP?

Nee. De Epa Storage-applicatiebackend is gebouwd met ASP.NET Core op .NET 10 en wordt gehost op Microsoft Azure.

Betekent dit dat Epa Storage niet gehackt kan worden?

Nee. Geen enkel serieus softwarebedrijf kan absolute veiligheid beloven. Wel zijn de actuele PHP-kwetsbaarheden niet van toepassing op onze applicatieruntime en werken we met ondersteunde technologie en gelaagde beveiligingsmaatregelen.

Was iedere offline PHP-website gehackt?

Nee. Verschillende organisaties haalden diensten preventief offline om eerst veilig te kunnen bijwerken. Offline zijn is op zichzelf geen bewijs van een geslaagde aanval of datalek.

Officiële bronnen

Meer weten over onze uitgangspunten voor dataveiligheid?
Bekijk veiligheid en compliance bij Epa Storage of neem contact met ons op.