In het kort
| Wanneer | Wat | Moet jij iets doen? |
|---|---|---|
| 30 september | Een lek in Python bij beveiligde verbindingen | Alleen als je eigen Python-programma zelf beveiligde verbindingen aanneemt. |
| 6 oktober | Beveiligingsupdates voor Django | Draait je site op Django? Laat hem bijwerken. |
| 7 oktober | Certificaten worden korter geldig | Vernieuwt je certificaat vanzelf? Dan niets. |
| 9 oktober | Python 3.15 is uit | Nee, niet meteen. |
| 9 oktober | Deno stopt met ontwikkelen | Alleen als je software op Deno draait. |
| 13 oktober | Een gat in npm | Vraag je bouwer of je site npm gebruikt. |
| 15 oktober | AI die zelf lekken repareert | Nee. |
| 21 oktober | Twee ernstige lekken in PHP | Ja, als je site op PHP draait. |
Het PHP-lek: werk je site bij
Op 21 oktober kwamen er met spoed reparaties voor twee ernstige lekken in PHP, de taal waarop WordPress en veel webshops draaien. Volgens het PHP-team loopt elke installatie die webpagina's verwerkt risico. Een aanvaller hoeft niet in te loggen om misbruik te maken. Volgens Sansec zag Cloudflare al aanvallen voordat de reparatie uit was.
Draait je site op PHP? Laat hem dan zo snel mogelijk bijwerken. Wat er precies speelt en wat je moet vragen, lees je in Het PHP-lek: wat nu met je website?. Wil je eraf? Kijk dan bij overstappen van PHP.
Python 3.15 is uit
Volgens de makers kwam Python 3.15 uit op 9 oktober. De nieuwe versie kan programma's sneller laten opstarten, gebruikt standaard UTF-8 voor tekst en geeft duidelijkere foutmeldingen. Hoeft je site meteen over? Nee. Een oudere versie krijgt nog jaren reparaties, en een nieuwe versie gaat pas live als de tests goed zijn. Meer over wat er nieuw is, lees je in Waarom wij in Python bouwen.
Django: vier lekken gerepareerd
Django is een veelgebruikt bouwpakket voor websites in Python. Op 6 oktober bracht het Django-team nieuwe versies uit met reparaties voor vier beveiligingsproblemen. Het gaat om dingen als een server die door heel lange taalcodes te veel geheugen gaat gebruiken, en een formulier waarmee iemand met nagemaakte gegevens te veel kon aanpassen.
Draait je site op Django? Vraag je bouwer of de nieuwe versie erop staat. Het gaat om de versies 6.1.2, 6.0.9 en 5.2.18, of nieuwer.
Een lek in Python bij beveiligde verbindingen
Eind september maakte het Python-team een ernstig lek bekend in het deel van Python dat beveiligde verbindingen regelt, voor het slotje in de adresbalk. In oktober volgden de updates van onder meer Red Hat. Het lek zit in een vrij zeldzame opzet: een Python-programma dat per websiteadres een ander certificaat kiest. Een aanvaller kan zo'n programma laten crashen, en mogelijk meer. De makers noemen het lek kritiek. Het is gerepareerd in de versies 3.10.22, 3.11.17, 3.12.15, 3.13.16 en 3.14.8, en Python 3.15 heeft de reparatie al.
Heb je een eigen programma in Python dat zelf beveiligde verbindingen aanneemt? Laat het bijwerken. Bij de meeste websites regelt een ander programma het slotje, en dan raakt dit lek je niet.
Het slotje wordt korter geldig
Het slotje in de adresbalk werkt met een certificaat: een digitaal paspoort van je site. Let's Encrypt, de organisatie die gratis certificaten uitgeeft aan een groot deel van alle websites, maakte op 7 oktober bekend dat ze vanaf februari 2027 korter geldig worden. De stappen:
- Nu: 90 dagen geldig.
- Vanaf 10 februari 2027: 64 dagen.
- Vanaf 16 februari 2028: 45 dagen. Die stap werd al in december 2025 aangekondigd.
Waarom? Een kortere geldigheid beperkt de schade als een certificaat ooit in verkeerde handen valt. Voor de meeste sites verandert er niets, want het vernieuwen gaat vanzelf. Staat er ergens een vaste termijn in een script, bijvoorbeeld "vernieuw elke 60 dagen", dan gaat het mis. Let's Encrypt raadt aan om te vernieuwen na ongeveer twee derde van de geldigheid.
Twijfel je? Vraag je hoster of het certificaat van je site vanzelf vernieuwt, en of dat ook met kortere termijnen goed gaat.
Een gat in npm
npm is de grootste verzamelplaats van bouwstenen voor JavaScript. Op 13 oktober maakten onderzoekers bekend dat ruim 1.500 bouwstenen door een fout in een instelling overgenomen konden worden. Er is geen misbruik gezien, al weet niemand zeker of het eerder gebeurde. GitHub, de eigenaar van npm, nam maatregelen. Volgens de onderzoekers heeft een vergelijkbare koppeling bij GitLab dezelfde zwakte. Wat een bouwsteen is en hoe je het risico klein houdt, lees je in Bouwstenen van anderen.
De ontwikkeling van Deno stopt
Deno is een programmeeromgeving voor JavaScript en TypeScript, gemaakt door Ryan Dahl. Dat is dezelfde persoon die ooit Node.js bedacht. Begin oktober werd bekend dat het team van Deno naar Cloudflare gaat, een groot internetbedrijf. Volgens Deno zelf en The Register krijgt de Deno-omgeving nog ongeveer een jaar reparaties, en daarna stopt de ontwikkeling. De software blijft open source. De hostingdienst Deno Deploy stopt al na ongeveer zes maanden.
Draait jouw software op Deno? Begin dan rustig met een plan om over te stappen. Op Deno Deploy heb je ongeveer zes maanden, voor de Deno-omgeving zelf ongeveer een jaar.
Node.js: elke versie krijgt lange ondersteuning
Node.js is de meest gebruikte omgeving om JavaScript op een server te draaien. Eind oktober krijgt Node.js 26 lange ondersteuning: tot april 2029 komen er reparaties. Ook verandert het ritme. Vanaf Node.js 27 komt er één nieuwe versie per jaar, in april, en krijgt elke versie lange ondersteuning. Dat maakt het makkelijker om te plannen wanneer je moet bijwerken.
AI die zelf lekken repareert
Op 15 oktober maakte GitHub, een grote plek waar bouwers hun code bewaren, bekend dat zijn AI-hulp nu voor zakelijke klanten zelf lekken kan repareren. Een controleprogramma vindt het lek, de AI zoekt de juiste bestanden, stelt een reparatie voor en controleert of het lek weg is. Een mens moet de reparatie daarna nog goedkeuren. Hoe wij met AI bouwen, lees je in AI die programmeert.
Wat betekent dit voor jou?
De rode draad van deze maand: software moet bijgehouden worden. Een lek kan in elke taal zitten, en een reparatie helpt pas als iemand hem ook echt plaatst. Een paar vragen voor je eigen bouwer of hoster:
- Op welke taal en welk bouwpakket draait mijn site? En is de nieuwste versie met reparaties erop gezet?
- Wie houdt de updates bij? En hoe snel gebeurt dat bij een ernstig lek?
- Vernieuwt het certificaat van mijn site vanzelf? Ook als het straks korter geldig is?
- Hoeveel bouwstenen van anderen gebruikt mijn site?
Staat je site bij ons, dan hoef je hier niets voor te doen. Updates houden we bij, en we houden in de gaten of alles draait. Zie hosting en beheer.
