Twee kritieke kwetsbaarheden in de veelgebruikte programmeertaal PHP zorgen voor een dringende beveiligingswaarschuwing. De ontwikkelaars van PHP hebben aangekondigd op woensdag 21 oktober beveiligingsupdates uit te brengen. Volgens de Europese cybersecuritydienst CERT-EU kunnen de kwetsbaarheden het mogelijk maken om op afstand schadelijke code uit te voeren. Organisaties die de beveiliging niet tijdig kunnen herstellen, moeten overwegen hun publiek toegankelijke toepassingen tijdelijk af te schermen. Ook voor ondernemers die afhankelijk zijn van hun website is het belangrijk om te weten wie het technische beheer verzorgt.
PHP-kwetsbaarheid krijgt de hoogste urgentie
Het PHP-project maakte op 20 oktober bekend dat twee kritieke beveiligingsproblemen worden aangepakt. Beide kwetsbaarheden hebben een score van 9,2 op de CVSS v4.0-schaal, waarmee de ernst als kritiek wordt aangemerkt. De geplande publicatie van de beveiligingsupdates staat op woensdag 21 oktober om 16.00 uur Nederlandse tijd.
De Europese dienst CERT-EU beschrijft in zijn beveiligingswaarschuwing over PHP het risico dat aanvallers op afstand code kunnen uitvoeren zonder zich eerst bij het betreffende systeem aan te melden. Volgens de waarschuwing kunnen de problemen mogelijk alle PHP-versies vanaf versie 5 raken. De PHP-ontwikkelaars hadden in hun officiële aankondiging aangekondigd dat nadere technische informatie en de getroffen versies bij het verschijnen van de updates bekend zouden worden gemaakt.
Een hoge ernstscore geeft aan hoe zwaar een kwetsbaarheid technisch kan wegen. Het betekent niet dat iedere website die PHP gebruikt daadwerkelijk is aangevallen of dat iedere installatie kwetsbaar is.
WordPress en andere websites kunnen PHP gebruiken
PHP is een programmeertaal die op servers wordt gebruikt om websites en webapplicaties te laten functioneren. De taal wordt onder meer toegepast bij WordPress, Drupal, Joomla en Magento. Daardoor raakt de waarschuwing niet alleen organisaties die zelf software ontwikkelen, maar ook bedrijven die een bestaande website laten bouwen of beheren.
De praktische gevolgen verschillen per situatie. Een ondernemer kan bijvoorbeeld een WordPress-site hebben waarvan het hostingbedrijf de server beheert, terwijl een webbouwer verantwoordelijk is voor het CMS en de gebruikte uitbreidingen. Die verdeling maakt het belangrijk om vast te stellen wie de PHP-versie controleert en de beveiligingsupdate daadwerkelijk uitvoert.
Volgens persbureau Reuters waarschuwde beveiligingsbedrijf Wordfence dat reguliere automatische updates van WordPress niet hetzelfde zijn als het bijwerken van PHP op de server. Websitebeheerders moeten daarom nagaan wie voor die update verantwoordelijk is. De actuele situatie kan verschillen tussen hostingpakketten en technische configuraties.
Cloudflare meldt eerste aanvalspogingen
De waarschuwing is inmiddels niet uitsluitend preventief. Dane Knecht, technisch directeur van internetbeveiligingsbedrijf Cloudflare, meldde op 21 oktober dat de eerste aanvallen die verband houden met de kwetsbaarheden zichtbaar werden. Het bedrijf past volgens hem zijn firewallmaatregelen aan om de risico’s tijdelijk te beperken.
Reuters berichtte eveneens over deze melding. Tegelijkertijd meldde het Australische Cyber Security Centre dat het op dat moment geen actieve uitbuiting van deze specifieke kwetsbaarheden had vastgesteld. Die uitspraken spreken elkaar niet noodzakelijk tegen: beveiligingsbedrijven kunnen pogingen waarnemen zonder dat een andere instantie voldoende bewijs heeft om actieve uitbuiting op de door haar onderzochte systemen te bevestigen.
Een tijdelijke firewallmaatregel is bovendien geen vervanging voor een beveiligingsupdate. Cloudflare benadrukte dat gebruikers de patch moeten installeren zodra deze beschikbaar komt. De Britse overheidsdienst National Cyber Security Centre adviseerde organisaties eveneens om systemen met PHP in kaart te brengen, internettoegankelijke toepassingen extra te controleren en updates zo snel mogelijk door te voeren.
Wat betekent de waarschuwing voor ondernemers?
Voor ondernemers is de eerste stap om de technische verantwoordelijkheid voor de website vast te stellen. Wie een website bij een externe hostingpartij heeft ondergebracht, kan daar navragen welke PHP-versie wordt gebruikt, of de installatie door de aangekondigde kwetsbaarheden wordt geraakt en wanneer de beveiligingsupdate wordt uitgevoerd. Bij een eigen server ligt die verantwoordelijkheid doorgaans bij de eigen systeembeheerder of IT-dienstverlener.
Het is verstandig om niet zonder technisch advies zelf de PHP-versie te wijzigen. Een update kan gevolgen hebben voor oudere websites, thema’s of uitbreidingen. De beheerder moet daarom nagaan welke beveiligde versie geschikt is voor de betreffende omgeving en controleren of de website na de update goed blijft functioneren. Als een systeem niet tijdig kan worden beveiligd, adviseert CERT-EU te overwegen de internettoegang tijdelijk te beperken totdat een oplossing is toegepast.
De waarschuwing gaat over de onderliggende programmeertaal en is niet hetzelfde als een melding dat WordPress als platform zelf een nieuwe kwetsbaarheid bevat. Ook zegt de waarschuwing op zichzelf niets over de vraag of gegevens van een specifieke onderneming zijn buitgemaakt. Daarvoor is afzonderlijk onderzoek naar de betreffende systemen en eventuele aanwijzingen voor misbruik nodig.
Dit artikel is opgesteld door de redactie van Gelderland Magazine op basis van de officiële beveiligingswaarschuwing van CERT-EU, de aankondiging van het PHP-project, informatie van Cloudflare en berichtgeving van Reuters en het Britse National Cyber Security Centre. De situatie kan veranderen zodra de beveiligingsupdates en de technische details officieel zijn gepubliceerd.
Heeft u een foutje gezien of beschikt u over aanvullende informatie? Neem dan contact met ons op.
Weergaven: 17
