How often should I review the inventory?

Review it whenever you add or change an app, and use the relevant vendor advisory feeds to trigger security updates.

Do I need to scan every file after a patch?

Focus first on the applicable advisory, the running package or image, and the critical service behavior. Broaden checks when the change or evidence calls for it.

Can I mark an issue fixed after pulling a new image?

No. Recreate or update the service as required and verify that the replacement process uses the patched image.

What if the installed version looks older than the fixed upstream version?

Check the distribution or vendor advisory for a backported fix and the required package revision.

Beveiligingsadviezen volgen en patches controleren voor je thuisserver-apps

Eva Wong

IceWhale author

Eva Wong is de Technisch Schrijver en en vaste knutselaar bij ZimaSpace. Een levenslange geek met een passie voor homelabs en open-source software, zij is gespecialiseerd in het vertalen van complexe technische concepten naar toegankelijke, praktische handleidingen. Eva gelooft dat zelf-hosting leuk moet zijn, niet intimiderend. Met haar tutorials stelt ze de community in staat om hardware-setup te ontrafelen, van het bouwen van hun eerste NAS tot het beheersen van Docker-containers.

Patch the Planet official announcement cover artwork

Geef elke zelfgehoste toepassing een regel in een eenvoudige inventaris om beveiligingspatches betrouwbaar bij te houden: eigenaar, runtimebron, bereikbaar adres, updatekanaal en laatst geverifieerde implementatie. Koppel een beveiligingsadvies aan die regel voordat je iets wijzigt. Een lijst met bladwijzers naar beveiligingsnieuws is geen inventaris van kwetsbare software.

Controleer bij een PHP-gebaseerde Docker-app het beveiligingsadvies van de toepassingsleverancier, werk de ondersteunde image bij, maak de service opnieuw aan en verifieer de runtime in de vervangende omgeving. Gebruik voor een distributiepakket de beveiligingsrichtlijnen van die distributie, inclusief backports. Bewaar voldoende bewijs om te kunnen vaststellen welke oplossing actief is en wanneer deze is geïmplementeerd.

Wat hoort er in een praktische beveiligingsinventaris?

Veld	Voorbeeld van bruikbaar bewijs
Toepassing en eigenaar	Nextcloud-instantie en de persoon die deze beheert
Runtimebron	Imagetag en digest van de leverancier of distributiepakket
Blootstelling	Openbare hostnaam, alleen via VPN of toegang via LAN
Kanaal voor beveiligingsadviezen	Beveiligingspagina en releasefeed van de leverancier
Herstel	Databaseback-up, gegevenskopie en configuratie-export
Geverifieerde update	Implementatiedatum en actieve versie of pakketversie

Bewaar dit bestand in een onderhoudsmap in plaats van het te mengen met de schrijfbare gegevens van de toepassing. Bewaar inloggegevens ergens anders. De gids voor de softwarestack helpt runtimes te vinden die verborgen zitten achter toepassingsnamen.

Welke beveiligingsadviezen moet ik volgen?

Abonneer je op de beveiligingsbronnen van de toepassingsbeheerder, de containeruitgever en het besturingssysteem die relevant zijn voor je inventaris. Raadpleeg upstream PHP-beveiligingsadviezen voor context over de runtime, maar volg downstream-instructies om te bepalen welk pakket of welke image je moet installeren. Noteer een bron-URL en de getroffen branch.

De uitleg over de Patch the Planet-respons laat zien waarom onderzoeksnieuws, upstream-releases en implementeerbare toepassingsupdates op verschillende momenten kunnen verschijnen.

Hoe bepaal ik of een app kwetsbaar is?

Identificeer het proces dat de toepassing aanbiedt. Inspecteer de container- of runtimeomgeving met de door de leverancier ondersteunde methode en vergelijk het resultaat met de voorwaarden van het beveiligingsadvies. Een CLI-opdracht op de host kan een andere PHP-installatie melden. Houd rekening met pakketversies van leveranciers en gedocumenteerde backports.

Gebruik de handleiding voor het identificeren van PHP-versies om dit onderscheid te maken. Als het bewijs onvolledig is, markeer de inventarisvermelding dan als onbekend in plaats van aan te nemen dat er geen waarschuwing betekent dat alles veilig is.

Hoe kan ik een update controleren zonder alles uitgebreid te testen?

Bewaar een herstelbare kopie van de database en gegevens, installeer de ondersteunde update en controleer vervolgens drie dingen: het nieuwe proces is actief, de gedocumenteerde oplossing of pakketversie is aanwezig en één kritieke gebruikersroute werkt nog. Meld je bij een bestandsapp aan en open een testbestand; test een kleine upload als uploads belangrijk zijn voor je gebruik.

Noteer eventuele migratiestappen en de beperkingen voor terugdraaien. Volg de handleiding voor het bijwerken van Docker-applicaties wanneer de runtime in een image zit.

Wanneer moet een beveiligingsadvies als afgehandeld worden gemarkeerd?

Sluit het af zodra de geïmplementeerde service de toepasselijke oplossing heeft en de gerichte servicecontrole slaagt. Sla de image-digest of pakketversie, datum en resultaat op. Een image naar schijf downloaden, een pull-request samenvoegen of een upstreamaankondiging doen is een tussenstap.

Bewaar originele back-ups apart van de normale schrijfbare gedeelde map van de app. Een ZimaCube 2 kan deze gegevens en herstelbestanden bewaren; in onze handleiding voor herstelbare kopieën lees je waarom een handige werkkopie niet je enige hersteloptie mag zijn.

Veelgestelde vragen

Hoe vaak moet ik de inventaris controleren?

Controleer dit telkens wanneer je een app toevoegt of wijzigt, en gebruik de relevante adviesfeeds van leveranciers om beveiligingsupdates te activeren.

Moet ik na een patch elk bestand scannen?

Richt je eerst op het toepasselijke advies, het actieve pakket of de image en het kritieke gedrag van de service. Breid de controles uit wanneer de wijziging of het bewijs daartoe aanleiding geeft.