Woensdag 21 oktober, 12:40. Wij halen 333travel.nl offline, samen met ons klantportaal. Geen storing, maar een bewuste keuze. Twee lekken in PHP, de programmeertaal onder een groot deel van alle websites, maakten het mogelijk om servers van buitenaf over te nemen. Wij namen dat risico niet.
Wat er daarna gebeurde, hadden we nooit zien aankomen. Onze digitale reisassistent Joy nam het werk van de website over bij gebrek aan een website, en het aantal gesprekken met haar vertwintigvoudigde.
Wat was dit zogenoemde PHP lek?
Op dinsdag 20 oktober kondigde PHP een spoedupdate aan voor twee lekken: CVE-2026-109618 en CVE-2026-109619. Beide kregen een ernstscore van 9,2 op 10. Via deze lekken kan iemand van buitenaf code uitvoeren op een server en die in het ergste geval overnemen.
Het lek zat in de manier waarop een website informatie ontvangt die bezoekers versturen, zoals een ingevuld formulier of een inlogpoging.
Vergelijk het met een brievenbus: met een speciaal geprepareerde brief kon iemand de deur van binnenuit openen.
Woensdag rond het middaguur werd bekend hoe een van de lekken misbruikt kon worden. Volgens de NOS gebruikten hackers de aankondiging van PHP om het lek op te sporen en informatie erover naar buiten te brengen. Daarmee werd misbruik relatief eenvoudig. Er was toen nog geen update beschikbaar. In heel Nederland gingen websites uit voorzorg offline, waaronder die van de Tweede Kamer, het Nationaal Cyber Security Centrum, DigiD, MijnOverheid en RTL Nieuws.
Wat hebben wij gedaan?
Jouw gegevens veilig houden gaat voor ons voor bereikbaarheid. Daarom hebben we niet afgewacht en zijn we direct actie gaan ondernemen en hebben wij als een van de eerste besloten onze website down te brengen. Dit was de werkdag van onze IT afdeling die bewuste woensdag op 21 oktober.
- 12:00 – We krijgen bericht over twee kritieke lekken in PHP.
- 12:10 – We zoeken uit wat er speelt. Het lek zit in de manier waarop websites informatie van bezoekers ontvangen.
- 12:20 – Er komt naar buiten hoe een van de lekken misbruikt kan worden.
- 12:30 – We besluiten onze systemen offline te halen.
- 12:40 – Website, klantportaal en de andere systemen zijn offline.
- 13:00 – We besluiten Joy in te zetten in plaats van 333travel.nl.
- 13:05 – Op het klantportaal staat een melding voor reizigers die onderweg zijn of hun reisvoorstel willen bekijken.
- 13:10 – Het verkeer van 333travel.nl gaat naar Joy.
- 13:15 – We monitoren het verkeer en volgen nieuwe informatie over de lekken.
- 15:45 – PHP brengt de update uit. We wachten op de bijgewerkte versie van onze supplier.
- 16:20 – Die versie is er nog steeds niet. We bouwen hem wel zelf, met de reparatie van PHP erin.
- 17:36 – Onze website is weer online.
- 17:44 – Het klantportaal en de andere systemen zijn weer online.
- 17:55 – We monitoren de stabiliteit en of de lekken echt gedicht zijn. Het incident is afgesloten.
Niet wachten, zelf bouwen
Onze systemen draaien voor het gemak in kant-en-klare softwarepakketten. Een leverancier stelt die pakketten samen, inclusief PHP. Normaal verwerkt die leverancier een update van PHP en installeren wij daarna het nieuwe pakket.
Om 15:45 bracht PHP zelf de reparatie uit. Om 16:21 was er online nog geen bijgewerkt pakket klaar voor hoe wij werken. Wachten betekende langer offline. Daarom hebben we het pakket zelf opnieuw samengesteld, met de reparatie van PHP erin. Dat kan omdat we precies weten hoe onze systemen zijn opgebouwd en dit ook zelf kunnen.
Waarom wij dit in minuten konden besluiten
Wij bouwen en beheren onze eigen techniek. Daardoor weten we welke systemen geraakt worden en kunnen we binnen minuten besluiten wat we doen.
Dat beheer begint niet op de dag dat het misgaat. Dit lek zit al in PHP sinds versie 5, een versie van ruim twintig jaar oud. PHP brengt updates uit voor recente versies, niet voor versies die niet meer ondersteund worden. Wie op een oude versie draait, kan niet zomaar een update installeren. Die moet eerst het hele systeem omzetten, en dat kost weken. Ook de NOS wijst erop dat veel website-eigenaren hun software te laat bijwerken. Vooral sites die jaren oude versies draaien, zijn de komende tijd extra kwetsbaar.
Wij houden onze systemen daarom standaard altijd draaiende tegen de nieuwste versies. Op een gewone dag zie je daar niet zoveel van. Op 21 oktober betekende het dat wij dezelfde middag weer online waren. Beter door technologie zeggen wij niet voor niks. Nog los van de grote impact die dit zeker met zich meebracht.
Dit is ook hoe wij onze reizen organiseren. Wij lossen problemen zelf voor jou op. Hierdoor ben jij altijd beter en sneller geholpen.
Joy nam het over
Joy is onze zelf gebouwde AI powered reisassistent. Je praat met haar over je reiswensen en zij geeft inspiratie op basis van onze volledige website. Joy draait op eigen, losstaande techniek zonder PHP en had dus geen last van het lek.
We hebben het verkeer van 333travel.nl omgeleid naar joy.333travel.nl. Joy stond normaal in het publiek. Nu stond ze op het podium waar anders onze website staat. Het aantal gesprekken per dag werd twintig keer zo groot. Snelheid en stabiliteit bleven op peil.
Zijn mijn gegevens veilig?
We hebben geen enkele aanwijzingen dat iemand het lek heeft misbruikt. Je hoeft zelf dus helemaal niets te doen. Dit omdat wij snel geschakeld hebben en er op tijd bij zijn geweest.
Samen met Pionative
Onze infrastructuur wordt bewust beheerd door Pionative. Ook zij schakelden die middag snel. Ze hielden ons op de hoogte van updates, dachten mee en zetten het verkeer naar onze systemen dicht, zodat we binnen minuten offline waren.
Dank aan onze reizigers voor hun begrip, en aan ons team voor het snelle schakelen. Vragen over je boeking? Neem contact met ons op.
