Kritieke beveiligingslekken in PHP bedreigen duizenden webapplicaties

In de wijdverbreide programmeertaal PHP zijn twee kritieke beveiligingslekken ontdekt. Kwaadwillenden kunnen via een relatief eenvoudig webverzoek kwaadaardige code uitvoeren op servers. Omdat inmiddels openbaar demonstratiemateriaal beschikbaar is waarmee misbruik kan worden aangetoond, is het risico op grootschalige digitale inbraken aanzienlijk toegenomen.

Volgens het Nationaal Cyber Security Centrum (NCSC) raken de kwetsbaarheden nagenoeg alle gangbare installaties vanaf PHP-versie 5. De programmeertaal vormt het fundament van een groot deel van het internet en drijft achterliggende processen aan zoals inlogmodules, formulieren en betalingsverkeer. De toezichthouder nam uit voorzorg zelfs de eigen publieke website tijdelijk offline in afwachting van een definitieve oplossing.

Risico op overname van servers

De kwetsbaarheden stellen aanvallers in staat om zogeheten 'remote code execution' te forceren via een zogenoemd POST-request. Daarmee kan een externe partij op afstand opdrachten laten uitvoeren op de server van een bedrijf of instelling. Hoewel er op dit moment nog geen meldingen zijn van actief misbruik in het wild, achten cybersecurity-experts de kans op snelle exploitatie zeer groot zodra aanvallers de techniek automatiseren.

Ontwikkelaars van PHP werken momenteel aan noodoplossingen. De verwachting is dat er op korte termijn beveiligingsupdates worden vrijgegeven, mogelijk al rond het aangekondigde tijdstip van 21 oktober. Organisaties krijgen het dringende advies om updateprocessen direct in gereedheid te brengen, zodat de patches direct na publicatie geïnstalleerd kunnen worden.

Lees ook: Overheid haalt websites Belastingdienst offline na beveiligingslek · Overheidswebsites tijdelijk offline na ontdekking softwarelekken in PHP