Nieuws Vandaag

Europese cybersecuritydienst waarschuwt voor kwetsbaarheden in programmeertaal PHP

De cybersecuritydienst voor EU-instituten, CERT-EU, waarschuwt voor twee "kritieke kwetsbaarheden" in de programmeertaal PHP. De organisatie achter deze wereldwijd zeer belangrijke programmeertaal heeft melding gemaakt van de kwetsbaarheden, die het onder meer mogelijk maken om van afstand een server aan te sturen. Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server.

Wereldwijd draait ongeveer 70 procent van alle websites op PHP of toepassingen daarvan. CERT-EU raadt organisaties aan zich klaar te maken voor het onmiddellijk doorvoeren van updates, zodra deze beschikbaar zijn.

Als dat onmogelijk blijkt, raadt de dienst aan applicaties die zijn verbonden met het internet daarvan af te schakelen tot dit wel mogelijk is. PHP meldt zelf snel met een veiligheidsupdate te komen.

Offline

Uit voorzorg zijn inmiddels websites van onder meer de Tweede Kamer, MijnOverheid, DigiD, politieke partijen, het Rijksinstituut voor Volksgezondheid en Milieu (RIVM), de koepelorganisatie Universiteiten van Nederland, de ANWB en de Kustwacht offline gehaald.

Grote bedrijven en organisaties hebben al langer voortdurend te maken met cyberaanvallen. Recent werd onder meer Ahold Delhaize getroffen door een zwaar cyberincident. Dat er nu kwetsbaarheden in PHP zijn opgedoken, kan grote gevolgen hebben. Kwaadwillenden kunnen die kwetsbaarheden misbruiken en bijvoorbeeld websites hacken.

Cloudflare

Cyberbeveiliger Cloudflare ziet dat bedrijven worden geconfronteerd met de eerste cyberaanvallen die gericht zijn op de kwetsbaarheden in PHP. Dat stelt technisch directeur Dane Knecht op socialmediaplatform X. Volgens Knecht past Cloudflare zijn firewallregels aan als noodmaatregel.

"PHP zit overal. Het draait ongezien onder WordPress-, Drupal-, Joomla- en Magento-sites, shared-hostingplatforms, controlepanelen en heel veel software die niet eens vermeldt dat er PHP onder de motorkap zit", stelt cybersecuritybedrijf Huntress in een blogpost.

Wordfence, een beveiligingsplug-in die WordPress-websites beschermt, meldde ook dat alle WordPress-sites draaien op een server waarop PHP is geïnstalleerd. Het bedrijf waarschuwde dat de gebruikelijke dienst voor automatische updates in dit geval niet kan volstaan en raadde site-eigenaren aan uit te zoeken wie verantwoordelijk is voor het updaten van PHP op hun sites.

Ethische hacker waarschuwt

De kwetsbaarheden in programmeertaal PHP hebben potentieel heel grote gevolgen, zegt ook ethisch hacker Wouter van Dongen, omdat wereldwijd zo ontzettend veel websites draaien op PHP of toepassingen daarvan. "Het gevaar is dat die sites worden overgenomen of dat iemand bij alle data kan", aldus Van Dongen. Om die reden heeft hij zijn eigen websites al offline gehaald.

Dat de Amerikaanse cyberbeveiliger Cloudflare nu de eerste aanvallen meldt, verbaast Van Dongen niet. "Hier gaan hackersgroepen vol op inzetten."

Kwetsbaar

Ook cybersecurity-onderzoeker Harm Griffioenvan de TU Delft stelt dat deze kwetsbaarheden grote gevolgen kunnen hebben. Volgens Griffioen weet iedereen dat er nu een kwetsbaarheid is en daardoor kan er heel gericht gezocht worden. Hij verwacht dat hackers daar gebruik van maken. "Er is helaas nog geen oplossing en wel een richting waarin aanvallers kunnen zoeken." Volgens Griffioen wordt op internet al gedeeld hoe PHP-sites te hacken zijn.

Cybersecurity-expert Erik Jan Koedijk adviseert bedrijven te controleren welke websites en toepassingen PHP gebruiken en hun beheerder te vragen welke maatregelen nodig zijn. "Als directe reparatie niet mogelijk is, kan tijdelijke afscherming verstandig zijn." Verder waarschuwt hij voor mogelijke social engineering: criminelen die zich voordoen als hostingpartij en onder het mom van een dringende beveiligingsupdate om inloggegevens vragen.

Ook Peter Mosmans van Radically Open Security benadrukt de ernst van de situatie. "Afhankelijk van hoe deze servers verder intern verbonden zijn, kunnen aanvallers bijvoorbeeld proberen om verder een bedrijfsnetwerk op te komen. Ook kan misbruik plaatsvinden door bijvoorbeeld een kwaadaardige code op webservers te plaatsen."

Het Nationaal Cyber Security Centrum (NCSC) heeft na het bekend worden van kwetsbaarheden in PHP nog geen "actief misbruik" gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om alvast voorbereidingen te treffen op de updates die beschikbaar worden gesteld, zodat die zo snel mogelijk geïnstalleerd kunnen worden. De website van het NCSC zelf is uit voorzorg ook tijdelijk offline gehaald.

Ahold-incident

Het moederbedrijf van Albert Heijn, Ahold Delhaize, deed recent aangifte bij de politie vanwege het cyberbeveiligingsincident waar het supermarktconcern al meer dan een week mee worstelt. Het concern merkte verdachte activiteit in de eigen IT-infrastructuur op en schakelde cyberbeveiligingsexperts in om onderzoek te doen. Daaruit bleek dat de verdachte activiteit het gevolg was van "kwaadwillende acties van derden".

Het cyberbeveiligingsincident was al gemeld bij het NCSC. Ahold Delhaize haalde vanwege het incident preventief diverse systemen offline. Daardoor waren de websites en apps van merken van Ahold Delhaize, zoals Albert Heijn, Etos en Gall & Gall, dagenlang onbereikbaar. "Uit het onderzoek tot nu toe blijkt dat dit de juiste beslissing was", zegt topman Frans Muller over het offline halen van de systemen.

Ahold Delhaize denkt echter niet dat de recente cyberaanval verband houdt met kwetsbaarheden in PHP. "Voor zover we nu kunnen overzien, is er geen aanleiding om dit aan te nemen", aldus een woordvoerder.

Bezorgsupermarkt Picnic haalt zijn website nu niet offline, hoewel die op programmeertaal PHP draait. Volgens Picnic is zo'n ingreep niet nodig. "Onze website is alleen een uithangbord. Je kunt daar niet bestellen." 

Bron: ANP