De echte race tegen de klok begint pas nadat de update is uitgeserveerd die de lekken dicht
Niet alleen tot 16.00 uur Nederlandse tijd is het spannend voor systemen die op PHP draaien. Daarna, als een update beschikbaar is die de lekken dicht, kunnen hackers de kwetsbaarheden opsporen en exploiteren bij wie de update niet snel genoeg heeft doorgevoerd.
De kwetsbaarheden in het programmeersysteem zijn sinds dinsdagavond bekend. Sindsdien is het voor hackers mogelijk om op eigen houtje de kwetsbaarheden te achterhalen en vervolgens te misbruiken. Op woensdagochtend werden de eerste Nederlandse websites offline gehaald wegens zorgen om de cyberveiligheid van de systemen.
PHP heeft aangekondigd om 16.00 uur een update uit te brengen om de kwetsbaarheden te verhelpen. Tot die tijd zorgen de kwetsbaarheden voor een mogelijke ingang in de PHP-systemen. Maar dat maakt niet dat die ingang wagenwijd open staat, zegt Harm Griffioen, universitair docent Cyberveiligheid aan de TU Delft. „Hackers moeten eerst vinden waar ze het systeem kunnen binnendringen. Daar moeten ze grote scripts met vele regels programmeertaal voor doorzoeken. Dat is niet zomaar gedaan.”
Online worden veel proof of concepts gedeeld uit het PHP-systeem. Dat zijn testcodes waarmee programmeurs aantonen dat de kwetsbaarheden daadwerkelijk aanwezig zijn. Deze proof of concepts geven inzicht in hoe de kwetsbaarheden misbruikt kunnen worden, maar er is vaak nog extra werk nodig om hier ook een programma mee te schrijven dat de servers kan aanvallen. Griffioen ziet vooralsnog geen geverifieerde aanvalsmethoden die publiekelijk zijn gedeeld. „Maar dat kan op elk moment alsnog gebeuren, want hackers zijn nu ongetwijfeld hard aan het zoeken. En degene die de kwetsbaarheid vindt, kan dat ook verzwijgen.”
Updaten noodzakelijk
De echte race tegen de klok begint echter pas als de updates door PHP openbaar worden gemaakt, zegt Griffioen. „Op dat moment kunnen hackers de oude scripts met de nieuwe scripts vergelijken, waardoor makkelijk te zien is waar de kwetsbaarheid zat. Dat inzicht maakt het voor hackers makkelijk om aanvalsprogramma’s te schrijven, waarmee ze de verouderde systemen alsnog kunnen binnendringen.” Organisaties die hun systemen niet snel genoeg updaten, lopen dan het meeste risico.
Dat veel organisaties hun websites nu offline halen, is volgens Griffioen een logische stap. „Als een systeem uit de lucht is, kunnen hackers er ook niet meer bij. Het beschermt de systemen tegen een mogelijke aanval.” Zodra de organisaties hun systemen hebben bijgewerkt, lopen zij dan ook in principe geen risico meer. „Maar we gaan hier nog heel lang last van hebben, omdat niet alle systemen direct bijgewerkt zullen worden”, zegt Griffioen. „Het updaten van systemen kan namelijk veel tijd kosten. En sommige systemen zullen misschien helemaal niet meer geüpdatet worden, omdat mensen zijn vergeten dat ze die hebben of omdat ze niet weten dat ze bijgewerkt moeten worden.”
Het Nationaal Cyber Security Centrum heeft na het bekend worden van kwetsbaarheden in programmeertaal PHP nog geen „actief misbruik” gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om alvast voorbereidingen te treffen op de updates die woensdagmiddag beschikbaar worden gesteld, zodat die zo snel mogelijk geïnstalleerd kunnen worden. Ook PHP Foundation zelf zegt nog geen signalen te hebben ontvangen van misbruikte kwetsbaarheden. De Amerikaanse cyberbeveiliger Cloudfare meldde wel pogingen tot aanvallen te zien, al bevestigen zij niet of die aanvallen succesvol zijn.
Maak NRC jouw voorkeursbron op Google
Bij Google kan je nu zelf aangeven welke nieuwsbronnen jij vaker wil zien in je zoekresultaten. Meer informatie
Mail de redactie
Ziet u een taalfout of een feitelijke onjuistheid?
U kunt ons met dit formulier daarover informeren, dat stellen wij zeer op prijs. Berichten over andere zaken dan taalfouten of feitelijke onjuistheden worden niet gelezen.