Beveiligingslek in PHP legt websites plat
Door twee ernstige beveiligingslekken in PHP gingen deze week wereldwijd veel websites tijdelijk offline. De lekken konden aanvallers op afstand code laten uitvoeren, zonder eerst in te loggen. Daarom haalden organisaties uit voorzorg onder meer MijnOverheid, DigiD en de website van het Nationaal Cyber Security Centrum offline. Inmiddels zijn beveiligingsupdates beschikbaar en zijn veel sites weer bereikbaar. Het Nederlandse NCSC blijft organisaties oproepen↗ de updates snel te installeren, omdat kwetsbare systemen risico blijven lopen.
PHP is een veelgebruikte bouwsteen van het internet
PHP is een programmeertaal die websites helpt om taken uit te voeren, zoals inloggen, formulieren verwerken en gegevens uit een database ophalen. De taal draait meestal op de server achter een website, niet op de computer van de bezoeker. Daardoor kan een fout in PHP veel verschillende websites en webapplicaties raken. Ook softwarepakketten en apparaten die PHP op de achtergrond gebruiken, kunnen kwetsbaar zijn. Niet iedere website of elk slim apparaat is getroffen; dat hangt af van de softwareversie.
De kwetsbaarheden konden servers overnemen
De twee lekken kregen een hoge ernstscore en konden onder bepaalde omstandigheden leiden tot ‘remote code execution’. Dat betekent dat een aanvaller opdrachten kan uitvoeren op afstand, zonder een account nodig te hebben. Daardoor kan die mogelijk gegevens bekijken, software aanpassen of de server verder binnendringen. De kwetsbaarheden zaten in PHP zelf en waren dus niet uitsluitend een fout in één specifieke website. Volgens beveiligingsinstanties waren de lekken jarenlang onopgemerkt gebleven.
Websites gingen uit voorzorg offline
Toen de ernst duidelijk werd, haalden overheidsdiensten en bedrijven hun websites tijdelijk offline of beperkten ze de toegang. Zo konden ze het risico verkleinen zolang nog geen oplossing beschikbaar was. MijnOverheid en DigiD waren tijdelijk niet via hun eigen websites bereikbaar. Inloggen met DigiD op andere aangesloten sites bleef wel mogelijk. Na het verschijnen van de beveiligingsupdates keerden veel diensten terug. Een website die tijdelijk offline ging, is daarmee niet automatisch gehackt: organisaties namen die stap juist preventief.
Beveiligingsupdates zijn inmiddels beschikbaar
Het PHP-team publiceerde op 21 oktober updates voor ondersteunde versies. Het NCSC adviseert snel te updaten. Kwetsbare systemen moeten offline blijven totdat de update is geïnstalleerd. Bovendien moeten beheerders nagaan of PHP ook onderdeel is van andere software of netwerkapparatuur. Organisaties die hun website bij een hostingbedrijf hebben ondergebracht, zijn voor de technische update vaak afhankelijk van die leverancier. Alleen een volledige update verhelpt de twee kwetsbaarheden; tijdelijke maatregelen beperken hooguit bepaalde aanvalsroutes.
Misbruik is nog niet op grote schaal bevestigd
Op 23 oktober meldde het NCSC één bericht over mogelijk misbruik in het buitenland. Een geslaagde aanval was niet bevestigd. De organisatie noemt het misbruiken van de lekken ingewikkeld, maar houdt vast aan het advies om direct te updaten. Ondertussen laat het incident zien hoe één veelgebruikte softwarecomponent gevolgen kan hebben voor uiteenlopende diensten. De websites die offline gingen, verschilden sterk van elkaar, maar deelden een afhankelijkheid van dezelfde programmeertaal.
