Het PHP-lek van vandaag raakt Joulo niet

Wat er aan de hand is

Vandaag werden twee ernstige lekken in PHP bekend. Ze maken het mogelijk om van buitenaf code te draaien op een server die PHP gebruikt. Het Nationaal Cyber Security Centrum adviseert om elk systeem met PHP dat vanaf internet bereikbaar is als kwetsbaar te zien, tot de update erop staat. Het NCSC zag tot nu toe geen misbruik. Veel organisaties wachtten de update niet af en zetten hun site uit. NOS houdt een liveblog bij.

Dat is een verstandige keuze. Een site die een paar uur uit de lucht is, kost minder dan een server die van een ander is.

Wat wij vandaag hebben gedaan

We hebben onze eigen systemen nagelopen. Dat was snel klaar, want het antwoord is kort: er draait geen PHP bij Joulo. Niet op de website, niet in het dashboard, niet in de app, niet in de koppelingen met je laadstation en niet in de software die je laadsessies inboekt.

Alles wat je van Joulo ziet, is door ons eigen team gebouwd in één taal, TypeScript. De website en het dashboard draaien op het netwerk van Cloudflare. De gegevens staan in een PostgreSQL-database. Ons laadstationnetwerk (OCPP) draait op datzelfde netwerk. Er is geen eigen server in een datacenter die wij vandaag moeten bijwerken.

Je kunt gewoon inloggen. Je laadsessies komen binnen zoals altijd. De uitbetaling van dit kwartaal loopt door.

Waarom dat zo is

Geen PHP is geen toeval en ook geen verdienste. PHP is een prima taal. Het is een gevolg van de keuze om geen eigen servers te beheren. Een server die van jou is, moet je zelf bijwerken, elke keer, voor elk lek. Vandaag is het PHP, over een maand iets anders. Wij draaien op platforms die dat werk voor ons doen, met teams die daar de hele dag mee bezig zijn. Sinds september is Joulo gecertificeerd volgens ISO 27001. Zo'n dag als vandaag is precies waar die afspraken voor zijn.

Twee dingen die mensen nu denken

"Een site die online is, is dus veilig." Dat kun je van buiten niet zien. Een site kan online zijn omdat hij geen PHP gebruikt, omdat de update er al op staat, of omdat niemand ernaar keek. Alleen de eigenaar weet welke van de drie.

"Joulo gebruikt geen PHP, dus bij Joulo kan dit niet." Dit lek niet. Maar elk systeem heeft onderdelen die bijgewerkt moeten worden, ook het onze. Het verschil zit in wie dat doet en hoe snel. Wij volgen de meldingen van onze leveranciers en controleren bij elk groot lek opnieuw wat ons raakt. Vandaag was dat niets.

Heb je vragen?

Stel ze via Berichten in je dashboard. Dat werkt gewoon ;).