De problemen rond programmeertaal PHP worden het ernstigste cyberlek in jaren genoemd. Wie loopt nu gevaar?

Internetbeveiligingsexperts hadden dinsdag 20 oktober een dynamische dag. De ontwikkelaars van PHP – een van de meestgebruikte programmeertalen voor het internet – waren met een voorwaarschuwing gekomen. Zij zouden binnenkort twee kritieke lekken, fouten in de software die hackers kunnen uitbuiten, dichten.

Zo’n voorwaarschuwing is een seintje aan systeembeheerders om alert te zijn en klaar te gaan zitten. In dit geval schoten wereldwijd cybersecurityspecialisten rechtop in hun stoel, want PHP zit in de basis van heel veel websites en applicaties. Tal van organisaties waarschuwden hun achterban.

Experts weten op zo’n moment dat achter de schermen druk wordt gewerkt aan een update, die kan worden geïnstalleerd om een lek te dichten. In de regel wordt pas aangekondigd waar precies een gat in de beveiliging zit als er ook pleisters zijn klaargelegd om eroverheen te plakken.

Maar daar ging het deze keer mis. Op X verschenen om half drie ’s nachts screenshots met details over de lekken. Iemand had het lek aangekondigd op een populair hackersforum. Een lek over een lek dus.

Op basis van informatie uit die screenshots konden hackers proberen het lek te vinden. Vanaf dat moment was het stress en werd het een race tussen hackers die proberen het gat te vinden en daar misbruik van te maken en it-ers die manieren trachten te bedenken om het te dichten.

„Het eerste wat ik vanochtend deed was mijn website offline halen vanwege deze enorme kwetsbaarheid”, vertelt IT-beveiligingsonderzoeker Matthijs Koot van Bureau Veritas Cybersecurity. „Dat is een paardenmiddel, maar voor iedereen op dit moment waarschijnlijk de juiste beslissing. Er circuleert al ‘uitbuitingscode’. Als je je systemen nog online hebt staan is het wachten tot het mis gaat.”

Woensdag besloot de ene na de andere IT-beheerder om sites offline te halen. Van DigiD en Thuisarts.nl tot tweedekamer.nl en websites van media en politieke partijen: allemaal gingen ze op zwart in afwachting van de ‘pleister’, oftewel een ‘patch’ voor het lek. Die was voor vier uur woensdagmiddag aangekondigd. Zelfs grote delen van de website van het nationaal cybersecurity centrum (NCSC) gingen op zwart.

„Liever down dan gehackt”, zegt internetexpert Bert Hubert woensdag aan het begin van de middag. Hij vindt het heel verstandig dat onder meer DigiD offline is gehaald en spreekt van het ernstigste lek in jaren. „Je ziet de eerste aanvallen nu op gang komen.” Dat ziet hij aan de aanvallen die worden afgeslagen door filters, die inderhaast zijn bijgeplaatst door internetproviders. De spanning draait dus om een lek in ‘PHP’.

1Wat is PHP eigenlijk?

PHP is een van de populairste programmeertalen voor het internet. Het zit in maar liefst 69,3 procent van alle websites wereldwijd. „Het is een soort basissoftware”, legt internetdeskundige Brenno de Winter uit. PHP is zo alomtegenwoordig omdat het achter de schermen op internetservers gebruikt wordt om allerlei websites en applicaties interactief te maken. „Als er dus een lek in php zit, is dus eigenlijk al je software lek.”

PHP is open source – de broncode is voor iedereen beschikbaar – en wordt vooral ontwikkeld door vrijwilligers. PHP vormt ook vaak de schakel tussen het internet en de bediening van allerlei apparaten. Ook die kunnen kwetsbaar zijn. „De schaal van de producten die deze kwetsbaarheden bevatten is enorm”, waarschuwt het NCSC.

Via PHP-scripts kunnen gebruikers inloggen op sites, kunnen webformulieren informatie doorgeven en vast laten leggen in databases. Het is instrumenteel voor het verwerken van allerlei handelingen: van financiële transacties tot een simpel webforum. „Iedereen gebruikt PHP wel ergens”, zegt Bert Hubert. Het zit ook in platformen waarmee mensen en organisaties hun eigen sites bouwen. „Het bekendste php-product van de hele wereld is WordPress. Dit lek treft zo dus alle WordPress-sites.”

2Wat kunnen hackers daarmee?

Hackers kunnen de kwetsbaarheid gebruiken om toegang te krijgen tot de servers waar PHP op staat. Koot: „Met deze kwetsbaarheid kan een aanvaller op afstand willekeurige commando’s op jouw server uitvoeren. Zonder dat de aanvaller daarvoor over inloggegevens hoeft te beschikken. Die kan dus propaganda op je website zetten. Of de database achter je website uitlezen. Of heimelijk een stukje spionagesoftware plaatsen dat het inloggen van je gebruikers gaat afluisteren.”

3Wat was de rol van AI?

De kwetsbaarheden (bugs) waar het om gaat zijn opgespoord met behulp van AI. Volgens The Wall Street Journal bestonden de zwakke plekken al decennialang, en had een veiligheidsonderzoeker daar decennia terug al eens op gewezen, maar was de overtuiging destijds dat het te ingewikkeld zou zijn voor een mens om misbruik van de bugs te maken. En dus bleven de kwetsbaarheden bestaan.

Door de snelle opkomst van krachtige AI is het krachtenveld in cybersecurity dit jaar compleet veranderd. Moderne AI-modellen hebben in hun training zoveel computercode opgeslokt, dat ze computertaal — net als mensentaal — vloeiend spreken. Kwetsbaarheden in software die decennia geleden nog te ingewikkeld waren voor kwaadaardige hackers om te exploiteren, zouden nu in theorie met behulp van AI-modellen wél gebruikt kunnen worden om toegang te verkrijgen tot allerlei belangrijke systemen.

Volgens The Wall Street Journal was een veiligheidsonderzoeker van het Amerikaanse cybersecuritybedrijf Calif afgelopen zomer daarom wél gealarmeerd toen hij met behulp van GPT-5.6 Sol (van OpenAI) de kwetsbaarheden in PHP (her)ontdekte. Dat was in augustus. De onderzoeker merkte hoe simpel het was om systemen die op PHP draaiden te hacken. Bij sommige systemen was hij binnen enkele seconden binnen.

4En nu?

Woensdagmiddag 16 uur kwam de patch online. IT-beheerders moeten nu dus als een gek patchen, pleisters plakken en ervoor zorgen dat de sites terug online komen. Maar de ‘patch’ komt er alleen voor versies van PHP die nog ondersteund worden. Verouderde versies zullen eerst zelf moeten worden geüpdatet.

In sommige gevallen is forensisch onderzoek nodig, om te checken of er hackers binnen zijn gekomen voordat een site offline ging. Onder beveiligingsbedrijven circuleren al aanwijzingen, vertelt Matthijs Koot van Bureau Veritas Cybersecurity. Zo noemen ze bestanden in bepaalde mappen waarop ze moeten letten.

„Als er nog geen actieve uitbuitingen zijn ben je net door het oog van de naald geglipt. Dan heeft geen boef nog naar binnen kunnen glippen en hoef je geen forensisch onderzoek te doen. Als je geluk hebt.”

5Wie loopt nu gevaar?

Eigenlijk loopt iedere website of applicatie met PHP erin risico, zeker nu hackers op grote schaal proberen de kwetsbaarheid uit te buiten. Alleen door te patchen los je de problemen op.

IT-beheerders die er bovenop zitten en alle berichten gretig volgen en doorgronden, kunnen nu het verschil maken, zegt Bert Hubert. „Je hoort goed op te letten als systeembeheerder.”

Dat is ook een kwestie van geld. Cyberbeveiliging kun je uitbesteden. Grote bedrijven en overheden doen dat vaak. Mkb’ers zijn in de regel kwetsbaarder. PHP wordt ook voor veel webwinkels gebruikt.

Bedrijven die aan cyberbeveiliging doen besteden zelf ook dingen uit, ze hebben bijvoorbeeld (dure) abonnementen op de snelste seintjes over lekken. „Zo’n alert krijgen is niet genoeg”, zegt Hubert. „Je moet ze ook lezen. En dan bedenken wat je gaat doen.”

Dat is specialistenwerk. Tal van branches hebben hun eigen organisaties om 24 uur per dag de cyberveiligheid in de gaten te houden. Die worden CERTS genoemd. De zorg heeft bijvoorbeeld ook een eigen CERT.

6Waarom was vandaag de site van het Nationaal Cybersecurity Centrum (NCSC) offline?

Je zou kunnen zeggen dat het Nationaal Cybersecurity Centrum (NCSC) vandaag het goede voorbeeld gaf, al is dat wat wrang.

Het NCSC is een expertisecentrum dat helpt met de digitale bescherming van de overheid en vitale sectoren. De adviezen van de NCSC worden ook gedeeld met andere sectoren. Woensdagmiddag verstuurde het een waarschuwing voor de kwetsbaarheden in PHP.

De organisatie waar nu juist veel naar gekeken wordt, haalde zelf aan het begin van de woensdagmiddag het grootste deel van haar systemen offline en gaf een korte ‘ouderwetse’ fysieke persconferentie in Den Haag. Een paar uur later deed de Australische evenknie hetzelfde.

Corine Schipper-Derkse, plaatsvervangend directeur van het NCSC, zei woensdag tijdens een persconferentie dat Nederland als sterk gedigitaliseerd land behoorlijk afhankelijk is. „Dit soort zaken wordt onze dagelijkse realiteit.”

„Een groot deel van de sites maakt gebruik van PHP en daarmee is de potentiële impact groot.” Ze benadrukte dat het om een weeffout in de software gaat, niet om een aanval. „Het kan gerepareerd worden en de reparatie is aanstaande.”

7Wat gaan we hier de komende tijd nog van merken?

„De PHP-situatie zal leiden tot een massa incidenten. Dit is een van de grootste kwetsbaarheden in jaren”, schrijft Kevin Beaumont, een gerenommeerd securityspecialist, op het sociale medium Mastodon.

Gevraagd naar zwarte scenario’s beginnen Nederlandse experts al snel over Rusland. Het is een ‘dijk van een probleem’ als zo’n vroege melding van een probleem met software uitlekt, zegt Brenno de Winter, en je de site niet op tijd offline kunt halen. „Je moet nu eigenlijk sneller dan je aankunt het probleem oplossen. De enige die daar echt gelukkig van wordt heet Poetin. Omdat je nu massaal wereldwijd allerlei sites kunt aanvallen.”

Het zwartste scenario van Matthijs Koot is: „Iemand die op grote schaal allerlei systemen compromitteert. Waarom zou Poetin het nalaten om nu op grote schaal spyware te implanteren?”

Nu de patch beschikbaar is, zullen hackers die ontleden en in een mum van tijd achterhalen waar de zwakke plek zat. Het aanvalsverkeer op kwetsbare servers zwelt sinds het begin van de dag al aan, zagen internetbeveiligers van Cloudflare. Veel versies van PHP krijgen niet meer de updates waar iedereen gretig op wachtte en zullen kwetsbaar blijven. Het gaat volgens het Nederlandse beveiligingsbedrijf Hadrian om circa de helft van alle PHP-websites. Directeur Rogier Fischer schreef op LinkedIn: „Dat is grofweg een derde van het web dat waarschijnlijk geen officiële oplossing krijgt.”

Kies NRC als voorkeursbron