Update voor wereldwijde online kwetsbaarheid is live: 'Nu een race tegen de klok'

Het gaat om PHP, een programmeertaal die overal ter wereld wordt gebruikt om websites aan te sturen. PHP werkt vooral achter de schermen. Als iemand een website bezoekt, voert de server waarop de site draait diverse opdrachten uit. PHP verwerkt deze opdrachten en helpt de juiste informatie aan de bezoeker te leveren.

Dat in PHP kritieke kwetsbaarheden zijn gevonden, kan grote problemen opleveren. In het ergste geval kunnen webservers worden overgenomen en gevoelige gegevens worden misbruikt.

Inmiddels is er een patch beschikbaar waarmee sitebeheerders de kwetsbaarheid kunnen verhelpen. Daarmee lijkt het probleem verholpen, maar er breken nog spannende uren aan. In de oplossing staat namelijk vermeld waar de kwetsbaarheden zitten. Dat zien criminelen ook. "Dan kost het heel weinig tijd om aanvallen op te zetten", zegt cybersecurityexpert Erik de Jong van Tesorion.

In de loop van de dag haalden veel organisaties en bedrijven uit voorzorg hun websites die met PHP werkten offline. "Organisaties leken waakzaam te zijn", zegt directeur Dave Maasland van cybersecuritybedrijf ESET Nederland. "Veel organisaties met een hoog risicoprofiel hebben er goed aan gedaan om uit voorzorg de sluizen dicht te doen."

Maar lang niet alle websites zijn offline. Vooral bij buitenlandse sites valt op dat ze online blijven. Zij maken dan mogelijk andere risicoafwegingen. Het kan ook gaan om websites die geen gebruikmaken van PHP, maar met een andere programmeertaal zijn gebouwd.

Het is volgens De Jong niet altijd makkelijk om zo'n afweging te maken. "Stel dat je een grote webwinkel hebt en je website is het primaire kanaal richting klanten, dan is het een lastige keuze", zegt hij. "Ik kan me voorstellen dat je hem dan online houdt terwijl je mogelijke inbraakpogingen met een groot team in de gaten houdt."

Veel sitebeheerders moeten besluiten of ze de oplossing zelf kunnen doorvoeren of dat ze afhankelijk zijn van een leverancier waarop hun platform draait. PHP wordt bijvoorbeeld gebruikt door WordPress, een platform waarop veel sites draaien. In dat geval zou het kunnen dat beheerders moeten wachten tot WordPress is geüpdatet.

Deskundigen adviseren ook om de oplossing voor de kwetsbaarheden eerst goed te testen. Pas daarna kunnen de websites weer veilig online. "Ik verwacht dat sites in het beste geval vanaf 17.00 uur weer online komen", zegt De Jong.

Dan is het alsnog goed zoeken naar mogelijk misbruik van de kwetsbaarheid. De PHP Foundation maakte eerder op de dag bekend dat er "geen signalen van misbruik" zijn gevonden. Maar de komende tijd wordt pas duidelijk wat de impact écht is geweest.

"Met het verschijnen van de patch zijn de problemen nog niet voorbij", zegt beveiligingsexpert Richard Verbeek van Fellowmind. "Een update draait een eerdere inbraak niet terug. Daar zit het gevaar: bedrijven die opgelucht hun website weer aanzetten zonder te weten of hun gegevens op achterliggende systemen veilig zijn."

De experts zeggen dat criminelen mogelijk gegevens kunnen stelen die op de website zelf worden verwerkt. Dat kunnen ook inloggegevens zijn. Ook is het mogelijk dat ze virussen hebben geplant of dat ze achterdeurtjes hebben geplaatst waarmee ze (op een later moment) verder kunnen binnendringen in systemen.

Het kan een flinke zoektocht zijn om te achterhalen of zoiets is gebeurd. "Websitebeheerders moeten wel weten hoe ze misbruik van de kwetsbaarheden kunnen terugzien", zegt De Jong. "Anders zoek je naar een speld in een hooiberg."

Hij denkt dat de nasleep wel even duurt, maar dat we niet veel van de gevolgen gaan merken. "Er zal geen meltdown plaatsvinden, dus het lijkt van de buitenkant met een sisser af te lopen", zegt hij. "De grote bedrijven zullen maatregelen hebben getroffen. Dat betekent niet dat dit geen impact heeft, maar de bedrijven die slachtoffer worden, zullen te klein zijn om het nieuws te halen."