Module 5 · 5.1
Updates en verouderde software
Module 5: Apparaten, software en netwerk · Leestijd: 10 minuten
Leerdoel: Na deze les kun je een updatebeleid opzetten voor besturingssystemen, apps, plugins, routers en andere apparaten, en uitleggen wat "einde ondersteuning" betekent en wat je dan doet.
Kernbegrippen: kwetsbaarheid, patch, zero-day, automatische updates, firmware, plugin, inventaris, einde ondersteuning (end of life), randapparaat (edge device)
Een update is een slot dat je bijplaatst
Software bevat fouten. Sommige fouten zijn alleen lastig (een knop die niet werkt), andere zijn een kwetsbaarheid: een fout waarmee een aanvaller iets kan wat niet de bedoeling is, zoals inloggen zonder wachtwoord of eigen code laten uitvoeren. De maker lost dat op met een patch, die bij jou binnenkomt als update.
Het venijnige zit in de volgorde. Zodra een update uitkomt, is de kwetsbaarheid in feite openbaar. Aanvallers vergelijken de oude en de nieuwe versie, zien wat er is gerepareerd en bouwen daar een aanval op. Daarna scannen ze automatisch het hele internet op apparaten die de update nog niet hebben. Dat is precies de opportunistische aanval uit les 1.1: ze zoeken niet jou, ze zoeken iedereen die achterloopt.
Een zero-day is een kwetsbaarheid die al wordt misbruikt voordat er een patch is. Daar kun je weinig aan doen behalve de adviezen van de maker volgen en de schade beperken (back-ups, minimale rechten). Maar het overgrote deel van de inbraken bij kleine bedrijven gebeurt via kwetsbaarheden waarvoor de update allang klaarstond.
Het vroegere Digital Trust Center, nu onderdeel van het NCSC, zag in 2024 in zijn CyberVeilig Check dat ruim een op de drie kleine bedrijven (36%) niet op al zijn internetapparaten automatische updates had aanstaan. Het advies van het NCSC is eenvoudig: wacht niet met bijwerken, en zet automatisch updaten aan waar het kan.
Wat heb je eigenlijk? De inventaris
Je kunt niet bijwerken wat je vergeten bent. De meeste bedrijven denken bij updates aan laptops en telefoons, maar de gevaarlijkste apparaten zijn vaak de stille:
| Soort | Voorbeelden | Hoe het meestal bijwerkt |
|---|---|---|
| Computers en telefoons | Windows, macOS, Linux, Android, iOS | Automatisch, als je het aanzet en de herstart niet eindeloos uitstelt |
| Programma's en apps | Browser, kantoorpakket, pdf-lezer, boekhoudapp | Vaak automatisch; losse programma's soms niet |
| Website | CMS, plugins, thema's, PHP-versie | Deels automatisch; plugins en thema's vaak handmatig |
| Netwerkapparatuur | Router, modem, wifi-punten, firewall, VPN-server | Firmware, vaak handmatig of via de provider |
| Randapparaten | NAS, netwerkprinter, IP-camera, slimme deurbel, alarmsysteem, kassasysteem | Firmware, vaak handmatig, soms nooit |
| Clouddiensten | Mail, boekhouding, webwinkelplatform | De leverancier werkt bij; jij beheert de instellingen |
Apparaten die direct aan het internet hangen en van buiten bereikbaar zijn (router, VPN-server, NAS met toegang op afstand, camera) noemen we randapparaten (edge devices). Die zijn het vaakst doelwit, omdat een aanvaller er zonder klik van een medewerker bij kan. Een geanonimiseerd voorbeeld: een accountantskantoor had een NAS met "toegang overal vandaan" aanstaan. De maker bracht een beveiligingsupdate uit, het kantoor installeerde die niet, en een paar weken later waren alle bestanden op de NAS versleuteld. Niemand had op iets geklikt.
Een updatebeleid in vijf afspraken
Een beleid hoeft geen document van tien pagina's te zijn. Voor een klein bedrijf werken deze afspraken:
- Automatisch waar het kan. Zet automatische updates aan voor besturingssystemen, browsers, apps, en waar mogelijk voor CMS en plugins en voor de firmware van router en NAS.
- Herstarten hoort erbij. Veel updates werken pas na een herstart. Spreek af dat iedereen minstens één keer per week opnieuw opstart, en stel een herstart niet wekenlang uit.
- Randapparaten eerst. Voor apparaten die van buiten bereikbaar zijn: controleer zelf of er updates zijn, bijvoorbeeld één keer per maand, en installeer een beveiligingsupdate binnen een paar dagen. Waarschuwt de maker of het NCSC voor actief misbruik, dan dezelfde dag.
- Eén eigenaar per apparaat. Op de inventaris staat per regel wie het bijwerkt: jijzelf, een collega, je IT-bedrijf of je webbouwer. Staat er niemand, dan doet niemand het.
- Wat niet meer nodig is, gaat weg. Een plugin die je niet gebruikt, een oude laptop in de kast die nog op het netwerk komt, een testsite op een subdomein: verwijder het, dan hoef je het ook niet bij te werken.
Twijfel je of een update iets kapotmaakt? Maak eerst een back-up (module 6) en werk dan bij. Een update niet installeren uit angst voor problemen is bijna altijd het grotere risico.
Einde ondersteuning: als er geen updates meer komen
Elke versie van software of firmware heeft een einddatum. Daarna komt de maker niet meer met beveiligingsupdates. Dat heet einde ondersteuning (end of life, EOL). Het apparaat werkt nog gewoon, en dat is juist het verraderlijke: niemand merkt iets, terwijl elke nieuwe kwetsbaarheid voorgoed open blijft.
Voorbeelden:
- Windows 10. De normale ondersteuning eindigde op 14 oktober 2025. Daarna komen er alleen nog beveiligingsupdates via het ESU-programma van Microsoft, met einddata die per situatie verschillen. Kijk op de site van Microsoft wat voor jouw apparaten geldt, en plan de overstap naar een ondersteunde versie of een ander apparaat.
- PHP en andere websitetalen. Elke PHP-versie krijgt een paar jaar beveiligingsupdates. Draait je website op een oude versie, dan is de server misschien veilig, maar je site niet.
- Routers, NAS en camera's. Goedkope apparaten krijgen soms maar een paar jaar firmware-updates, soms nooit. Het NCSC raadt aan om vóór aankoop uit te zoeken hoe lang de maker het apparaat ondersteunt, en om apparaten die geen updates meer krijgen te vervangen.
- Plugins en thema's. Een plugin waarvan de maker is gestopt, krijgt geen fixes meer. Zoek een vervanger.
Kun je iets niet direct vervangen, beperk dan het risico: haal het van het internet af, zet het in een apart netwerk (les 5.3), en geef het geen toegang tot belangrijke gegevens.
Veilig bijwerken: alleen via de officiële weg
Aanvallers misbruiken het woord "update" ook. Een pop-up op een website "Je browser is verouderd, download hier de update" of een mail "installeer de beveiligingsupdate in de bijlage" is bijna altijd malware. Echte updates komen via het besturingssysteem, de app-winkel, de updatefunctie in het programma zelf of de website van de maker. Nooit via een link in een mail of een pop-up op een willekeurige site.
In de praktijk: zo ziet het eruit
Bij een hostingpakket met DirectAdmin, zoals bij WebOké, kies je de PHP-versie van je site via Select PHP version. Wil je eerst een back-up voordat je je website of plugins bijwerkt, dan kan dat bijvoorbeeld in Installatron met de knop Back-up, waarna je bij problemen de vorige versie terugzet. Bij andere aanbieders werkt het vergelijkbaar: zoek naar "PHP-versie" en naar de back-up- of stagingfunctie van je CMS.
Voor computers en telefoons staat de updatefunctie in de instellingen van het besturingssysteem. Voor je router kijk je in de beheerpagina (het adres staat in de handleiding of op de sticker van de router) of in de app van je provider.
Samenvatting
- Een update dicht een bekende kwetsbaarheid; na het uitkomen ervan scannen aanvallers het internet op wie achterloopt.
- Maak een inventaris, ook van router, NAS, printer, camera's, website en plugins, met een eigenaar per regel.
- Automatisch bijwerken waar het kan, herstarten hoort erbij, randapparaten eerst en snel.
- Einde ondersteuning betekent: geen beveiligingsupdates meer. Vervangen, of loskoppelen en afschermen.
- Updates alleen via de officiële weg, nooit via een pop-up of mail.
Quiz
Opdracht
Opdracht D5.1: Je update-inventaris. Maak een lijst van al je apparaten en software, inclusief router, NAS, printer, camera's, website en plugins. Noteer per regel de versie, of automatische updates aanstaan, wie de eigenaar is en of het nog wordt ondersteund. Werk bij wat achterloopt en beantwoord de reflectievragen.
Opdracht D5.1: Je update-inventaris
Zo pak je het aan: (1) Maak een tabel met de kolommen: apparaat of software, soort (computer, telefoon, programma, website, netwerk, randapparaat, clouddienst), versie, automatische updates (ja/nee/kan niet), eigenaar (wie werkt bij), nog ondersteund (ja/nee/onbekend), van buiten bereikbaar (ja/nee). Een sjabloon om te downloaden (csv of rekenblad) staat bij de opdracht. (2) Loop je kantoor en thuiswerkplekken langs. Vergeet niet: router en modem, wifi-punten, NAS, netwerkprinter, IP-camera's, slimme deurbel of alarm, kassasysteem, de oude laptop in de kast, je website met CMS, plugins en thema's, de PHP-versie van je hostingpakket. (3) Zoek voor elk apparaat op de site van de maker op tot wanneer het updates krijgt. Voor Windows 10: kijk op de levenscyclus-pagina van Microsoft wat voor jouw apparaten geldt. (4) Zet automatische updates aan waar het kan. Installeer openstaande updates, randapparaten eerst. Herstart daarna. (5) Markeer alles wat geen updates meer krijgt en bepaal per regel: vervangen (met datum), loskoppelen van internet, of apart netwerk (les 5.3).
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- DirectAdmin handleiding 14.1: De PHP-versie kiezen (Select PHP version)
- DirectAdmin handleiding 13.6: Back-ups maken en terugzetten in Installatron
- NCSC, Een op de drie kleine bedrijven doet geen automatische updates: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
- NCSC, Richt patchmanagement in: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
- NCSC, Basisbeveiligingsmaatregelen slimme apparaten: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Microsoft, levenscyclus van Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro