Stichting achter PHP omschrijft vertraging als „structureel falen”, wist al ruim twee jaar van beveiligingslek
Het beveiligingslek in PHP waardoor talloze organisaties in binnen- en buitenland vandaag hun websites offline moesten halen, was al jaren bekend bij de PHP Foundation, de ontwikkelaar van de programmeertaal. Dat een oplossing voor het probleem tot vandaag op zich liet wachten, komt door „structureel falen”, schrijft de stichting in een blogpost.
Volgens de PHP Foundation ontdekten onafhankelijke experts in 2024 „de eerste tekenen” van het lek in de programmeertaal. Op dat moment was volgens de stichting echter nog niet duidelijk hoe een hacker het lek zou kunnen gebruiken bij een cyberaanval. Daardoor kregen andere bugs een hogere prioriteit.
Uiteindelijk ontwikkelde het team achter PHP verschillende oplossingen voor het lek, maar al deze oplossingen zorgden volgens de stichting weer voor nieuwe problemen. De ontwikkelaars worstelden volgens de stichting met die verschillende slechte opties en waren bang voor de gevolgen als ze een verkeerde keuze zouden maken.
Dat trage besluitvormingsproces zorgde er – in combinatie met een gebrek aan personeel – volgens de PHP Foundation voor dat het werk aan de oplossing „maandenlang stilviel en herhaaldelijk opnieuw begon”. „We zullen het niet ontkennen: de vertraging was een structureel falen”, aldus de stichting.
De opkomst van krachtige AI-hulpmiddelen zorgde er deze zomer voor dat de ernst van het lek duidelijk werd. Sinds een onderzoeker van cybersecuritybedrijf Calif het lek met hulp van AI in augustus herontdekte, had het dichten ervan „de hoogste prioriteit”, schrijft de PHP Foundation. Meerdere mensen zouden „fulltime, en uiteindelijk ook in het weekend en rond de klok” met de oplossing bezig zijn geweest.
Het was de bedoeling dat de software-update met de oplossing op donderdag 22 oktober zou uitkomen. Maar twee dagen voor de publicatie ging het mis, toen op dinsdagavond berichten over het lek de ronde deden op sociale media.
Om vergelijkbare problemen in de toekomst te voorkomen heeft de stichting geld nodig, schrijft de PHP Foundation. Ze roept bedrijven, hostingproviders en publieke instellingen die PHP gebruiken op om de ontwikkeling van de software te sponsoren „op een niveau dat weerspiegelt hoeveel u ervan afhankelijk bent”.
Maak NRC jouw voorkeursbron op Google
Bij Google kan je nu zelf aangeven welke nieuwsbronnen jij vaker wil zien in je zoekresultaten. Meer informatie
Mail de redactie
Ziet u een taalfout of een feitelijke onjuistheid?
U kunt ons met dit formulier daarover informeren, dat stellen wij zeer op prijs. Berichten over andere zaken dan taalfouten of feitelijke onjuistheden worden niet gelezen.