Aanvallen gesignaleerd: Kritieke kwetsbaarheden bij circa 70 procent van alle wereldwijde websites

Wereldwijd draait circa 70 procent van de websites op PHP of toepassingen daarvan.

Cyberbeveiliger Cloudflare ziet dat bedrijven geconfronteerd worden met de eerste cyberaanvallen die gericht zijn op de kwetsbaarheden in programmeertaal PHP. Dat heeft de technisch directeur Dane Knecht gezegd op socialmediaplatform X.

CERT-EU raadt organisaties aan zich klaar te maken voor het onmiddellijk doorvoeren van updates zodra deze beschikbaar zijn. Indien dat onmogelijk blijkt, raadt de dienst aan applicaties die verbonden zijn met het internet daarvan af te schakelen tot dit wel mogelijk is.

PHP meldt zelf woensdag nog met een veiligheidsupdate te komen, om 16.00 uur Nederlandse tijd. De organisatie zegt dat mogelijk te vervroegen als details over de kwetsbaarheden worden gelekt of op internet verschijnen. Tweakers schrijft dat informatie over de bugfixes eerder al verscheen op Hacker News, waar het bericht inmiddels weer verwijderd zou zijn.

‘Potentieel grote gevolgen’
De kwetsbaarheden in PHP hebben potentieel heel grote gevolgen, zegt ethisch hacker Wouter van Dongen. “Het gevaar is dat die sites worden overgenomen of dat iemand bij alle data kan”, stelt Van Dongen. “PHP is de onderliggende technologie waarmee je webapplicaties kan maken. Als dat kwetsbaar is, dan is alles daarop ook kwetsbaar”, legt Van Dongen uit.

Hoe groot de gevolgen precies zijn, is nog onduidelijk omdat er nog veel details niet openbaar zijn. Uit voorzorg heeft Van Dongen zijn websites in ieder geval offline gehaald. “Wij kunnen ons niet permitteren dat iemand bij onze data kan.”

Publicatiedienst overheid offline
Een dienst waarmee gemeenten, provincies en waterschappen officiële berichten publiceren, is woensdag uit voorzorg uitgeschakeld na een waarschuwing voor kwetsbaarheden in de programmeertaal PHP. Volgens het bedrijf NotuBiz is dit uit voorzorg gebeurd en zijn er geen aanwijzingen voor een veiligheidslek.

Ruim honderd lagere overheden maken gebruik van NotuBiz. Ze delen daar officiële informatie met raadsleden en Statenleden. Zulke mededelingen zijn ook zichtbaar voor het publiek.

Het ANP heeft de visualisatietool LocalFocus tijdelijk uitgezet. “De onzekerheden in de programmeertaal PHP geven ons onvoldoende vertrouwen dat onze LocalFocus-server voor dit onderdeel beveiligd is tegen kwaadwillenden. Alle reeds gemaakte en gepubliceerde producties blijven online en beschikbaar en hebben geen last van deze onderbreking. Andere systemen, zoals de app of de beeldbank, vallen hierbuiten.”

Tweede Kamer en hogescholen
Ook delen van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo’s en onderzoeksinstellingen zijn woensdag uit voorzorg uitgeschakeld. Aanleiding is de waarschuwing voor kwetsbaarheden in de veelgebruikte programmeertaal PHP.

Het is niet bekend welke delen van het SURF-netwerk zijn getroffen. Ook de gevolgen voor bijvoorbeeld colleges en tentamens zijn nog niet duidelijk. SURF is het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo’s, academische ziekenhuizen en onderzoeksinstituten.

De website van de Tweede Kamer is uit voorzorg offline gehaald in verband met kwetsbaarheden die zijn ontdekt in de programmeertaal PHP. Dat meldt een woordvoerder desgevraagd. “Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen”, aldus de zegsman. “Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server.”