Op 21 oktober 2026 hebben we de applicaties van Springcast uit voorzorg tijdelijk offline gehaald. Een dag eerder had het beveiligingsteam van PHP twee kritieke kwetsbaarheden aangekondigd in de software waarop onze applicaties draaien. Een update die ze verhelpt, was er toen nog niet.
Die keuze had gevolgen voor jou en je luisteraars. Nog dezelfde dag waren we weer online. Hier lees je wat er speelde, waarom we zo besloten en wat je ervan merkte.
Wat is PHP?
PHP is een programmeertaal waarmee veel webapplicaties zijn gebouwd, ook die van Springcast. Het draait op onze servers, achter de applicaties die jij en je luisteraars gebruiken. Je installeert PHP niet zelf en je houdt het ook niet zelf bij. Het schema laat zien waar PHP zit, en daarmee ook waar de kwetsbaarheden zaten.
Wat werd er op 20 en 21 oktober bekend?
Het beveiligingsteam van PHP kondigde op 20 oktober een beveiligingsupdate aan voor twee kritieke kwetsbaarheden. Beide kregen een ernstscore (CVSS) van 9,2 op een schaal van 0 tot 10. Welke PHP-versies geraakt waren en welke versies de kwetsbaarheden verhelpen, maakte PHP pas bekend bij de release op 21 oktober.
Bij die release bevestigde PHP wat ‘kritiek’ hier betekent: beide kwetsbaarheden kunnen remote code execution mogelijk maken. Iemand kan dan op afstand, zonder in te loggen, eigen opdrachten op een server laten uitvoeren. Volgens CERT-EU, het cybersecurityteam van de Europese instellingen, loopt elke PHP-installatie die webverzoeken afhandelt dat risico (advies 2026-018).
Een kwetsbaarheid die wereldwijd speelt, is geen bewijs van een wereldwijde aanval, en ook niet dat er bij Springcast iets is misbruikt. Wel nam het risico snel toe.
Na de release werden technische details openbaar besproken en begonnen de eerste proof-of-concepts te circuleren: voorbeeldcode die laat zien dat een aanval werkt. Volgens CERT-EU werd daardoor de kans groter dat aanvallers de kwetsbaarheden al misbruikten.
Voor ons was de aankondiging al een reden om onze applicaties niet via internet bereikbaar te laten zolang de update er nog niet was.
Waarom we niet wachtten op de update
Op 21 oktober namen we eerst kleinere voorzorgsmaatregelen. We zetten het uploaden van audio en afbeeldingen tijdelijk uit; via de bestandsbeheerder kon je wel blijven uploaden. Ook voegden we extra monitoring en meldingen toe aan onze servers. Daarna kozen we voor een verdergaande stap.
Tussen de aankondiging en de update zat tijd. Zolang onze applicaties in die periode via internet bereikbaar bleven, draaiden ze op software met bekende kwetsbaarheden die nog niet verholpen waren.
In de eerste versie van zijn advies, nog vóór de release, adviseerde CERT-EU organisaties zich voor te bereiden op de update. Kon direct bijwerken niet, dan raadde CERT-EU aan te overwegen via internet bereikbare applicaties af te schermen tot er een oplossing was. Dat hebben we gedaan: we haalden de applicaties offline tot de kwetsbaarheden verholpen zouden zijn. Wat dat wel en niet doet, zie je hieronder.
Offline gaan beperkte het risico, maar verhielp de kwetsbaarheden niet. Dat gebeurde pas toen PHP de update had uitgebracht én wij die hadden geïnstalleerd. Het zijn twee aparte momenten: dat PHP een update uitbrengt, betekent nog niet dat Springcast al is bijgewerkt.
De keuze had een prijs, en die lag bij jou en je luisteraars: een tijd lang werkte Springcast niet. We vonden dat ongemak te verkiezen boven applicaties die bereikbaar bleven met bekende, ernstige kwetsbaarheden waarvoor nog geen oplossing bestond.
Wat jij en je luisteraars merkten
Behalve de applicaties zelf stonden op de statuspagina van Springcast Pro ook deze onderdelen als offline gemeld:
RSS-feeds, waarmee podcastapps nieuwe afleveringen ophalen;
de player, ook waar je die op een andere website hebt ingesloten;
podcastwebsites;
statistieken.
De onderbreking raakte dus niet alleen jou als maker. Podcastapps konden je feed tijdelijk niet ophalen, en je ingesloten player en je podcastwebsite waren niet bereikbaar.
Op 21 oktober hebben we klanten per e-mail geïnformeerd over de onderbreking, en later die dag opnieuw toen we weer online waren. Op onze website verwees een melding bovenaan de pagina naar de statuspagina’s van Springcast Pro en Springcast Classic, waar we de updates plaatsten.
Wat we weten over je gegevens
We hadden geen verdachte activiteit waargenomen toen we besloten offline te gaan, en ook niet toen we weer online gingen. Door de onderbreking zelf zijn geen gegevens verloren gegaan: dat je tijdelijk niet bij je account kon, betekent niet dat er iets is verwijderd.
Hoe het afliep
Nog op 21 oktober installeerden we de beveiligingsupdate van PHP op al onze servers en zetten we de applicaties weer online. Ook het uploaden van audio en afbeeldingen werkte weer zoals gewoonlijk, en bij Springcast Pro waren RSS-feeds, player en podcastwebsites weer bereikbaar.
Dat meldden we dezelfde middag op de statuspagina van Springcast Pro en Springcast Classic. Daarbij gaven we aan onze systemen de dagen erna extra nauwlettend te volgen.
Vragen?
Heb je een vraag over je eigen account, neem dan contact op met onze support. De stand van je omgeving vind je op de statuspagina van Springcast Pro of Springcast Classic.