Wat is open source ons waard?

Deze week heb ik voor het eerst in mijn vier jaar bij SURF meegemaakt dat we, buiten gepland onderhoud om, zelf onze diensten offline haalden. Dat was nodig vanwege twee ernstige beveiligingslekken in PHP, een programmeertaal die wereldwijd voor talloze websites en online diensten wordt gebruikt. Drie dingen vielen me op.

Alles onder controle

In de nacht van dinsdag op woensdag werden binnen SURF de risico's duidelijk en werd een crisisteam gevormd. Wat ik in de loop van de ochtend van het proces meekreeg, verliep opvallend soepel. Voor alle diensten en dienstonderdelen (en dat zijn er nogal wat) werd geïnventariseerd wat de risico's waren en welke maatregelen nodig waren.
 
Ook mijn eigen team had alles onder controle. Het offline halen van de diensten, instellen van notificaties en versturen van de communicatie waren zo gepiept. Het gesprek dat we vooraf binnen het team voerden, was nog het lastigst. We streven ernaar dat onze diensten 24/7 beschikbaar zijn en vinden het moeilijk te accepteren als dat niet lukt. Maar in dit geval was de noodzaak evident.

Wachten, wachten en nog eens wachten

Het weer online brengen van de diensten duurde aanzienlijk langer dan het offline gaan. Ik kreeg inzicht in een keten van afhankelijkheden waarvan ik me niet eerder bewust was.
 
Na het offline halen van de diensten moesten we eerst wachten op de beveiligingsupdates voor PHP. Vervolgens moesten andere partijen deze updates verwerken in de softwarepakketten die wij als basis gebruiken. Pas daarna kon ons team zelf verder met het bijwerken, testen en weer beschikbaar stellen van onze diensten.
 
Om 21.15 uur waren onze diensten weer beschikbaar. Na wat nazorg konden mijn collega's rond 22.00 uur eindelijk afsluiten. De volgende ochtend zat iedereen gewoon weer bij de ochtendstart, al werd er wel wat meer koffie gedronken dan normaal.

Open source… wat is het ons waard?

Al snel circuleerde onderstaand plaatje in verschillende varianten. Een groot deel van onze digitale infrastructuur is afhankelijk van open-sourcesoftware die door relatief kleine groepen ontwikkelaars wordt onderhouden. Die software kunnen we vrij gebruiken, maar de ontwikkeling en het onderhoud ervan kosten natuurlijk wel tijd en geld.
 
De PHP Foundation wees er deze week op dat de beveiliging van PHP, een van de meest gebruikte open-sourceprogrammeertalen ter wereld, afhankelijk is van een kleine groep betaalde ontwikkelaars en vrijwilligers. In 2025 ontving de stichting ongeveer 730.000 dollar aan donaties. Dat is opmerkelijk weinig voor een programmeertaal waarop een groot deel van het internet draait.
 
Als deze week iets positiefs oplevert, hoop ik dat het meer organisaties ertoe aanzet om niet alleen gebruik te maken van open source, maar ook bij te dragen aan het onderhoud ervan.