Websites uit voorzorg offline: veelgebruikte programmeertaal kwetsbaar voor hacks

De kwetsbaarheden in de programmeertaal maken het mogelijk om van afstand een server aan te sturen. Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server. Wereldwijd draait circa 70 procent van de websites op PHP of toepassingen daarvan. Een van de grootste daarvan is WordPress. "Het halve internet draait hierop", zegt Daan Keuper, cybersecurityexpert van Defion, tegen NU.nl.

In Nederland is het programma NotuBiz al offline gehaald. Dat is de websitedienst waarmee gemeenten, provincies en waterschappen berichten publiceren. Ook zijn sommige diensten van SURF uit voorzorg offline gehaald. Dat is het computernetwerk van universiteiten, hogescholen, mbo's, academische ziekenhuizen en onderzoeksinstellingen. Het netwerk zelf is nog wel beschikbaar.

Ook de website van de Tweede Kamer is offline gehaald. NU.nl draait niet op PHP. Lees in dit stuk meer over de getroffen Nederlandse websites:

PHP kondigde dinsdag aan dat er woensdagmiddag om 16 uur een belangrijke een veiligheidsupdate aan de programmeertaal wordt gepubliceerd. Er zijn namelijk twee "kritieke kwetsbaarheden" gevonden in het systeem.

Bedrijven moeten de updates meteen doorvoeren zodra PHP die woensdagmiddag om 16.00 uur vrijgeeft, adviseert Keuper. Criminelen zitten op dat tijdstip namelijk ook klaar. Dan is bekend waar de kwetsbaarheden zitten en kunnen criminelen op basis daarvan snel een script schrijven waarmee ze bedrijven die PHP gebruiken, aanvallen. Als bedrijven wél updaten, kunnen ze die aanvallen voor zijn.

"Criminelen kunnen willekeurige websites die gebruikmaken van PHP overnemen", legt Keuper uit. "Ze hebben dan volledige toegang tot dat systeem en alle data die zich erin bevindt." Zodra de update online staat en kwaadwillenden een script hebben geschreven, kunnen ze volgens Keuper "zo snel mogelijk het internet scannen en de websites overnemen voor welke malafide doeleinden dan ook".

Eerder duurde het enkele dagen voor criminelen op basis van een update zo'n script konden schrijven. "Maar tegenwoordig hebben we het vanwege de nieuwe AI-tools zeker niet meer over dagen, eerder over uren", zegt Keuper. Daarom wordt bedrijven nadrukkelijk geadviseerd om zo snel mogelijk te updaten. "Het wordt straks een race tegen de klok om criminelen voor te zijn."

Waarschijnlijk zullen de eerste aanvallen enkele uren nadat de update online is gekomen plaatsvinden. Voor bedrijven die gebruikmaken van PHP is het raadzaam niet alleen zo snel mogelijk te updaten, maar ook het nieuws voor die tijd goed in de gaten te houden. Keuper: "Het kan dat er al eerder criminele activiteiten worden gezien. Mogelijk geeft PHP de update dan eerder vrij."

Keuper adviseert bedrijven daarom ook om uit voorzorg websites offline te halen die op PHP draaien, als die niet cruciaal zijn voor het bedrijf. "Het advies is om alle PHP-applicaties uit te zetten die bedrijven niet dagelijks nodig hebben. En dan zo snel mogelijk te updaten als dat mogelijk is."

Cyberveiligheidsautoriteiten van de Europese Unie waarschuwden woensdagochtend al dat dit kon gebeuren. CERT-EU raadt organisaties aan updates zo snel mogelijk door te voeren zodra die beschikbaar zijn. Is dat niet mogelijk, dan adviseert de dienst om applicaties die met internet zijn verbonden uit te schakelen totdat updates wel kunnen worden geïnstalleerd.