Het PHP-lek van 21 oktober: waarom websiteonderhoud niet langer kan wachten

Op woensdag 21 oktober waren DigiD, MijnOverheid, de website van de Tweede Kamer en zelfs die van het Nationaal Cyber Security Centrum (NCSC) onbereikbaar. Zij waren niet de enige: meerdere andere organisaties haalden hun website uit voorzorg offline. Ook Blue Dragon heeft de PHP-websites van klanten tijdelijk uit de lucht gehaald. In deze blog leggen we uit wat er aan de hand was, waarom dit soort kwetsbaarheden vaker en sneller gaat opduiken en wat je kunt doen om je website en de gegevens daarin te beschermen.

Wat is er precies gebeurd?

Op 21 oktober werden twee ernstige kwetsbaarheden bekend in PHP, de programmeertaal waarop veel websites en webapplicaties draaien. Via deze kwetsbaarheden konden aanvallers op afstand systemen overnemen. Een oplossing was er op dat moment nog niet.

Het ging nadrukkelijk niet om een aanval. Corine Schipper-Derkse, plaatsvervangend directeur van het NCSC, sprak van “een weeffout die in de software zit”. Misbruik van de kwetsbaarheden had het NCSC op dat moment nog niet gezien.

Het NCSC adviseerde organisaties wel om per website een risicoafweging te maken en die zo nodig uit te schakelen. Later die middag bracht het PHP-team een beveiligingsupdate uit. Het advies van het NCSC daarna: installeer de update zo snel mogelijk en houd websites offline zolang dat nog niet is gebeurd.

Wat Blue Dragon heeft gedaan

Wij hebben het advies van het NCSC opgevolgd. Op 21 oktober hebben we de websites van klanten die op PHP draaien één voor één offline gehaald en alle betrokken klanten per mail geïnformeerd. Zodra de beveiligingsupdate beschikbaar was, zijn we begonnen met het doorvoeren en controleren ervan. 

Waarom dit vaker gaat gebeuren: de rol van AI

De onderzoekers van Wiz, die de kwetsbaarheden mede ontdekten, schrijven dat de fouten al meer dan tien jaar in de code van PHP zaten. AI-modellen hielpen om ze te vinden en te verhelpen. Volgens Wiz deed één onderzoeker met AI in een week wat eerder maanden werk zou zijn geweest voor een team van topspecialisten.

Het NCSC zag deze ontwikkeling al aankomen. In een expertblog van juli schrijft het dat AI digitale aanvallen sneller, makkelijker en op grotere schaal mogelijk gaat maken. De komende jaren worden meer kwetsbaarheden ontdekt, en aanvallers kunnen die waarschijnlijk ook sneller misbruiken. Daarvoor hebben zij niet per se de nieuwste AI-modellen nodig.

Eind september volgde een gezamenlijke verklaring van onder meer het NCSC, de NCTV, de AIVD en de politie. Daarin staat dat AI de drempel voor aanvallers verlaagt en het voor een bredere groep kwaadwillenden mogelijk maakt om cyberaanvallen uit te voeren. NCSC-directeur Matthijs van Amelsfort vatte het samen als: “AI automatiseert de aanvalsketen: van kwetsbaarheden vinden tot misbruik.”

Het NCSC plaatst daar wel een nuance bij. Er is minder technische kennis nodig en de doorlooptijd van een aanval gaat omlaag, maar om AI-modellen succesvol aan te sturen is nog steeds een bepaald kennisniveau vereist. De conclusie blijft: de race tussen het uitbrengen van patches en het misbruiken van kwetsbaarheden komt in een stroomversnelling. De tijd die je hebt om te reageren, wordt korter.

Wat kan er gebeuren als je website kwetsbaar is?

Een kwetsbare website is meer dan een technisch probleem. De gevolgen kunnen je hele organisatie raken.

Je website wordt overgenomen
Bij dit PHP-lek waarschuwde het NCSC dat aanvallers op afstand systemen konden overnemen. Wie de controle over je server heeft, kan de inhoud van je website aanpassen, bezoekers doorsturen naar malafide pagina’s of de server gebruiken voor andere aanvallen.

Klantgegevens komen op straat
Denk aan gegevens uit contactformulieren, klantaccounts of bestellingen. Gaat het om persoonsgegevens, dan is er sprake van een datalek. Een melding bij de Autoriteit Persoonsgegevens moet dan zonder onnodige vertraging gebeuren, en zo mogelijk niet later dan 72 uur na ontdekking. In een aantal gevallen moet je het datalek ook melden aan de mensen van wie de gegevens zijn gelekt.

Andere waardevolle gegevens lekken
Volgens het NCSC raken hedendaagse aanvallen vaak tegelijk de beschikbaarheid, de integriteit en de vertrouwelijkheid van systemen. AI helpt aanvallers bovendien om sneller hun doel te bereiken, van het vinden van waardevolle informatie tot het wegsluizen ervan.

Financiële schade en reputatieschade
Zolang je website of systemen offline zijn, liggen bestellingen, aanvragen en campagnes stil. Daarbovenop komen kosten voor herstel en onderzoek. Hoe groot de impact van uitval kan zijn, is de afgelopen weken zichtbaar bij Albert Heijn. Dat incident staat los van PHP. Albert Heijn, Etos en Gall & Gall hebben sinds 11 oktober te maken met een cybersecurity-incident. Als onderdeel van de maatregelen om de IT-omgeving te beschermen, werden systemen preventief tijdelijk uitgeschakeld. 

Waarom onderhoud nu het verschil maakt

Eerlijk is eerlijk: tegen een kwetsbaarheid die nog niet bekend is, beschermt geen enkele update. Ook websites die volledig waren bijgewerkt, waren op 21 oktober kwetsbaar. Het verschil zat in wat er daarna mogelijk was.

Wie op een actuele PHP-versie draaide, kon de officiële update direct installeren. Voor oudere versies lag dat anders. PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund. Vanwege de ernst van deze kwetsbaarheden kwamen er voor PHP 7.4, 8.0 en 8.1 wel minimale broncodepatches. Dat was een uitzondering, geen vanzelfsprekendheid. Wie op een verouderde versie draait, is afhankelijk van zulke uitzonderingen, of moet onder tijdsdruk een grote upgrade doorvoeren.

Het NCSC verwacht bovendien dat het aantal beveiligingsupdates de komende tijd fors toeneemt, omdat AI-modellen steeds beter worden in het vinden van kwetsbaarheden. Grote softwareleveranciers merken dat al: Oracle, bekend van databasesoftware die veel grote organisaties gebruiken, is bijvoorbeeld overgestapt van een driemaandelijkse naar een maandelijkse updatecyclus.

Precies daarom is regelmatig onderhoud zo belangrijk. Wie maandelijks de server, PHP, het CMS en de plug-ins bijwerkt:

• dicht bekende kwetsbaarheden zodra er een oplossing voor is
• blijft op versies die nog beveiligingsupdates krijgen
• kan een noodupdate binnen uren doorvoeren, in plaats van weken

Wie niet bijwerkt, zet de poort steeds verder open. Elke kwetsbaarheid die bekend wordt en niet wordt gedicht, is een extra ingang. Het NCSC zegt het zo: organisaties met goed patchmanagement en voldoende inzicht in hun IT-landschap staan in deze nieuwe realiteit aanzienlijk sterker.

Wat kun je nu doen?

Je hoeft geen technische kennis te hebben om de belangrijkste risico’s in beeld te krijgen. Begin met deze stappen.

• Breng in kaart waar je website op draait: welke PHP-versie, welk CMS, welke plug-ins en welke hosting.
• Controleer of je website is bijgewerkt naar PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35.
• Draai je op een Linux-distributie, pas dan de beveiligingsupdates van je leverancier toe.
• Leg vast wie verantwoordelijk is voor updates en hoe vaak die worden uitgevoerd.
• Zorg voor recente back-ups die los van je website worden bewaard.
• Spreek vooraf af wie besluit over noodmaatregelen, zoals het tijdelijk offline halen van je website.

Twijfel je hoe jouw website ervoor staat, of wil je het onderhoud structureel regelen? Neem contact met ons op, dan kijken we met je mee.