[{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"

Twee kritieke kwetsbaarheden in PHP zorgden wereldwijd voor actie bij organisaties en IT-leveranciers. Via de kwetsbaarheden kan een aanvaller onder omstandigheden zonder authenticatie op afstand code uitvoeren. PHP heeft inmiddels beveiligingsupdates uitgebracht. Veel websites werden ondertussen op zwart gezet uit veiligheidsoverwegingen.<\/p>\n","innerContent":["\n

Voor inkopers en contractmanagers roept dat een bredere vraag op: is goed geregeld wie bij zo\u2019n kritieke kwetsbaarheid moet handelen? Het antwoord in minder vanzelfsprekend dan het lijkt.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/heading","attrs":[],"innerBlocks":[],"innerHTML":"

Eerst de techniek, heel kort<\/h2>\n","innerContent":["\n

Eerst de techniek, heel kort<\/h2>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
De kwetsbaarheden in PHP zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619. Een CVE-nummer<\/strong> is de unieke aanduiding van een bekende kwetsbaarheid. De ernst daarvan wordt vaak uitgedrukt in een CVSS-score<\/strong> van 0 tot 10. Beide kwetsbaarheden scoren 9,2 en gelden daarmee als critical<\/em>. Een snelle patching door middel van de software-update is dan nodig. De patches zijn er. Maar wie moet ze installeren?<\/p>\n","innerContent":["\n
De kwetsbaarheden in PHP zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619. Een CVE-nummer<\/strong> is de unieke aanduiding van een bekende kwetsbaarheid. De ernst daarvan wordt vaak uitgedrukt in een CVSS-score<\/strong> van 0 tot 10. Beide kwetsbaarheden scoren 9,2 en gelden daarmee als critical<\/em>. Een snelle patching door middel van de software-update is dan nodig. De patches zijn er. Maar wie moet ze installeren?<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/heading","attrs":[],"innerBlocks":[],"innerHTML":"

Begin bij het contract<\/h2>\n","innerContent":["\n
Begin bij het contract<\/h2>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Voor de inkoper begint de juridische beoordeling bij de overeenkomst. Wie monitort kwetsbaarheden? Wie onderzoekt of de gebruikte software geraakt wordt? Wie test een patch? Binnen welke termijn moet deze worden aangebracht? En wie beslist over eventuele downtime?<\/p>\n","innerContent":["\n
Voor de inkoper begint de juridische beoordeling bij de overeenkomst. Wie monitort kwetsbaarheden? Wie onderzoekt of de gebruikte software geraakt wordt? Wie test een patch? Binnen welke termijn moet deze worden aangebracht? En wie beslist over eventuele downtime?<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Die verantwoordelijkheden zijn niet altijd concreet geregeld. Soms staat alleen dat een leverancier verantwoordelijk is voor \u201conderhoud\u201d, \u201cbeheer\u201d of \u201cbeveiliging\u201d.<\/p>\n","innerContent":["\n
Die verantwoordelijkheden zijn niet altijd concreet geregeld. Soms staat alleen dat een leverancier verantwoordelijk is voor \u201conderhoud\u201d, \u201cbeheer\u201d of \u201cbeveiliging\u201d.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Bij een ernstige kwetsbaarheid kan dan discussie ontstaan over wat daar precies onder valt.<\/p>\n","innerContent":["\n
Bij een ernstige kwetsbaarheid kan dan discussie ontstaan over wat daar precies onder valt.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Een goed IT-contract regelt daarom niet alleen beschikbaarheid en storingen, maar ook vulnerability- en patchmanagement, inclusief responstijden, patchtermijnen, escalatie en communicatie.<\/p>\n","innerContent":["\n
Een goed IT-contract regelt daarom niet alleen beschikbaarheid en storingen, maar ook vulnerability- en patchmanagement, inclusief responstijden, patchtermijnen, escalatie en communicatie.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/heading","attrs":[],"innerBlocks":[],"innerHTML":"
Maar het contract is niet altijd het eindpunt<\/h2>\n","innerContent":["\n
Maar het contract is niet altijd het eindpunt<\/h2>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Het ontbreken van een expliciete patchverplichting betekent niet automatisch dat een IT-leverancier niets hoeft te doen.<\/p>\n","innerContent":["\n
Het ontbreken van een expliciete patchverplichting betekent niet automatisch dat een IT-leverancier niets hoeft te doen.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Bij IT-dienstverlening speelt artikel 7:401 BW een belangrijke rol. De IT-dienstverlener moet de zorg van een goed opdrachtnemer in acht nemen. In de rechtspraak wordt daarbij gekeken naar wat van een redelijk bekwaam en redelijk handelend vakgenoot onder de omstandigheden mag worden verwacht.<\/p>\n","innerContent":["\n
Bij IT-dienstverlening speelt artikel 7:401 BW een belangrijke rol. De IT-dienstverlener moet de zorg van een goed opdrachtnemer in acht nemen. In de rechtspraak wordt daarbij gekeken naar wat van een redelijk bekwaam en redelijk handelend vakgenoot onder de omstandigheden mag worden verwacht.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Die zorgplicht kan de contractuele afspraken nader inkleuren en ook aanvullen. Dat betekent dat niet uitsluitend relevant is of letterlijk is opgenomen dat de leverancier beveiligingspatches moet installeren. Ook de aard van de dienstverlening, de deskundigheid van partijen, de ernst van het risico en hetgeen de leverancier weet of behoort te weten kunnen een rol spelen. Zelfs als het contract niet direct antwoord geeft, kunnen op de IT-dienstverlener verdere verplichtingen rusten.<\/p>\n","innerContent":["\n
Die zorgplicht kan de contractuele afspraken nader inkleuren en ook aanvullen. Dat betekent dat niet uitsluitend relevant is of letterlijk is opgenomen dat de leverancier beveiligingspatches moet installeren. Ook de aard van de dienstverlening, de deskundigheid van partijen, de ernst van het risico en hetgeen de leverancier weet of behoort te weten kunnen een rol spelen. Zelfs als het contract niet direct antwoord geeft, kunnen op de IT-dienstverlener verdere verplichtingen rusten.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/heading","attrs":[],"innerBlocks":[],"innerHTML":"
Rechtspraak: zorgplicht kan tot handelen verplichten<\/h2>\n","innerContent":["\n
Rechtspraak: zorgplicht kan tot handelen verplichten<\/h2>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Dat blijkt bijvoorbeeld uit een uitspraak van de Rechtbank Limburg van 21 juni 2017<\/strong>. Een ICT-dienstverlener installeerde een software-update bij een huisartsenpraktijk. Daarbij gingen gegevens verloren. De rechtbank oordeelde dat de leverancier v\u00f3\u00f3r de update had moeten controleren of een bruikbare back-up aanwezig was of zelf een nieuwe back-up had moeten maken. Van belang waren onder meer de deskundigheid van de leverancier, het belang van de gegevens en het bekende risico.<\/p>\n","innerContent":["\n
Dat blijkt bijvoorbeeld uit een uitspraak van de Rechtbank Limburg van 21 juni 2017<\/strong>. Een ICT-dienstverlener installeerde een software-update bij een huisartsenpraktijk. Daarbij gingen gegevens verloren. De rechtbank oordeelde dat de leverancier v\u00f3\u00f3r de update had moeten controleren of een bruikbare back-up aanwezig was of zelf een nieuwe back-up had moeten maken. Van belang waren onder meer de deskundigheid van de leverancier, het belang van de gegevens en het bekende risico.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
De zaak ging niet over een beveiligingspatch, maar laat wel zien dat professionele zorgvuldigheid concrete verplichtingen kan meebrengen die niet noodzakelijk letterlijk in het contract staan.<\/p>\n","innerContent":["\n
De zaak ging niet over een beveiligingspatch, maar laat wel zien dat professionele zorgvuldigheid concrete verplichtingen kan meebrengen die niet noodzakelijk letterlijk in het contract staan.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/heading","attrs":[],"innerBlocks":[],"innerHTML":"
Arbitrage: updates vielen onder onderhoud<\/h2>\n","innerContent":["\n
Arbitrage: updates vielen onder onderhoud<\/h2>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Nog dichter bij patchmanagement ligt een door de Stichting Geschillenoplossing Automatisering (SGOA) gepubliceerd arbitragevonnis. Daar had een leverancier onderhoud aan een internetplatform op zich genomen. Volgens de gepubliceerde samenvatting had de leverancier zijn zorgplicht geschonden door niet tijdig updates uit te voeren en het platform daardoor bloot te stellen aan beveiligingsrisico\u2019s. De arbiter oordeelde bovendien dat de updates onder het overeengekomen onderhoud vielen en niet als meerwerk mochten worden gefactureerd.<\/p>\n","innerContent":["\n
Nog dichter bij patchmanagement ligt een door de Stichting Geschillenoplossing Automatisering (SGOA) gepubliceerd arbitragevonnis. Daar had een leverancier onderhoud aan een internetplatform op zich genomen. Volgens de gepubliceerde samenvatting had de leverancier zijn zorgplicht geschonden door niet tijdig updates uit te voeren en het platform daardoor bloot te stellen aan beveiligingsrisico\u2019s. De arbiter oordeelde bovendien dat de updates onder het overeengekomen onderhoud vielen en niet als meerwerk mochten worden gefactureerd.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Dat is voor inkopers een belangrijk signaal: ook de formulering van de onderhoudsverplichting kan bepalend zijn voor de vraag of security-updates al in de dienstverlening zijn inbegrepen.<\/p>\n","innerContent":["\n
Dat is voor inkopers een belangrijk signaal: ook de formulering van de onderhoudsverplichting kan bepalend zijn voor de vraag of security-updates al in de dienstverlening zijn inbegrepen.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/heading","attrs":[],"innerBlocks":[],"innerHTML":"
Zorgplicht heeft ook grenzen<\/h2>\n","innerContent":["\n
Zorgplicht heeft ook grenzen<\/h2>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
De zorgplicht betekent niet dat iedere beveiligingstaak automatisch bij de leverancier ligt.<\/p>\n","innerContent":["\n
De zorgplicht betekent niet dat iedere beveiligingstaak automatisch bij de leverancier ligt.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
In een andere zaak over verouderde software, waaronder PHP 5.6, werd een leverancier juist niet aansprakelijk gehouden. De leverancier had de afnemer tijdig gewaarschuwd voor end-of-life-software, de veiligheidsrisico\u2019s en de noodzaak tot migratie, en had alternatieven voorgesteld. Ook waarschuwen, adviseren en een migratiepad aanbieden kan dus zorgvuldig handelen zijn.<\/p>\n","innerContent":["\n
In een andere zaak over verouderde software, waaronder PHP 5.6, werd een leverancier juist niet aansprakelijk gehouden. De leverancier had de afnemer tijdig gewaarschuwd voor end-of-life-software, de veiligheidsrisico\u2019s en de noodzaak tot migratie, en had alternatieven voorgesteld. Ook waarschuwen, adviseren en een migratiepad aanbieden kan dus zorgvuldig handelen zijn.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/heading","attrs":[],"innerBlocks":[],"innerHTML":"
Wat betekent dit voor inkopers?<\/h2>\n","innerContent":["\n
Wat betekent dit voor inkopers?<\/h2>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
De huidige PHP-kwetsbaarheden zijn daarmee vooral een stresstest voor IT-contracten.<\/p>\n","innerContent":["\n
De huidige PHP-kwetsbaarheden zijn daarmee vooral een stresstest voor IT-contracten.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Controleer daarom of duidelijk is:<\/p>\n","innerContent":["\n
Controleer daarom of duidelijk is:<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/list","attrs":[],"innerBlocks":[{"blockName":"core\/list-item","attrs":[],"innerBlocks":[],"innerHTML":"\n
wie kwetsbaarheden monitort;<\/li>\n","innerContent":["\n
wie kwetsbaarheden monitort;<\/li>\n"]},{"blockName":"core\/list-item","attrs":[],"innerBlocks":[],"innerHTML":"\n
welke patchtermijnen gelden;<\/li>\n","innerContent":["\n
welke patchtermijnen gelden;<\/li>\n"]},{"blockName":"core\/list-item","attrs":[],"innerBlocks":[],"innerHTML":"\n
wie beslist over noodmaatregelen of downtime;<\/li>\n","innerContent":["\n
wie beslist over noodmaatregelen of downtime;<\/li>\n"]},{"blockName":"core\/list-item","attrs":[],"innerBlocks":[],"innerHTML":"\n
hoe de leverancier omgaat met onderliggende softwarecomponenten;<\/li>\n","innerContent":["\n
hoe de leverancier omgaat met onderliggende softwarecomponenten;<\/li>\n"]},{"blockName":"core\/list-item","attrs":[],"innerBlocks":[],"innerHTML":"\n
en wanneer de afnemer moet worden ge\u00efnformeerd.<\/li>\n","innerContent":["\n
en wanneer de afnemer moet worden ge\u00efnformeerd.<\/li>\n"]}],"innerHTML":"
\n<\/ul>\n","innerContent":["\n
",null,"\n\n",null,"\n\n",null,"\n\n",null,"\n\n",null,"<\/ul>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Het contract is het vertrekpunt, maar niet noodzakelijk het eindpunt. Afhankelijk van de omstandigheden kan de zorgplicht van een professionele IT-dienstverlener aanvullende verplichtingen meebrengen om te onderzoeken, te waarschuwen, te adviseren of daadwerkelijk maatregelen te treffen.<\/p>\n","innerContent":["\n
Het contract is het vertrekpunt, maar niet noodzakelijk het eindpunt. Afhankelijk van de omstandigheden kan de zorgplicht van een professionele IT-dienstverlener aanvullende verplichtingen meebrengen om te onderzoeken, te waarschuwen, te adviseren of daadwerkelijk maatregelen te treffen.<\/p>\n"]},{"blockName":null,"attrs":[],"innerBlocks":[],"innerHTML":"","innerContent":["\n\n"]},{"blockName":"core\/paragraph","attrs":[],"innerBlocks":[],"innerHTML":"
Voor inkopers is het beter daar v\u00f3\u00f3r de volgende kritieke kwetsbaarheid duidelijkheid over te hebben dan een geschil nadat een incident is opgekomen.<\/p>\n","innerContent":["\n
Voor inkopers is het beter daar v\u00f3\u00f3r de volgende kritieke kwetsbaarheid duidelijkheid over te hebben dan een geschil nadat een incident is opgekomen.<\/p>\n"]}]

Fijne feestdagen!

Categorie

Reacties

Ook interessant

Goede inkoopdirecteur vraagt om meer dan branche-ervaring

Kritieke PHP-kwetsbaarheid: wat heeft u over patchen afgesproken met uw IT-leverancier?

De waarde van inkoop gaat verder dan kostenbesparing