Er is vandaag veel aandacht voor ernstige kwetsbaarheden in PHP. Maar wat is PHP eigenlijk? Waarom kan een kwetsbaarheid in deze programmeertaal zulke grote gevolgen hebben? En waarom kiezen organisaties er soms voor om hun websites of systemen tijdelijk uit te schakelen?
Wat is PHP?
PHP is een programmeertaal die veel wordt gebruikt om websites en webapplicaties te bouwen. Denk aan websites die informatie uit een database ophalen, inloggegevens verwerken of bestellingen afhandelen. PHP draait op de server achter de website en zorgt ervoor dat dit soort functionaliteiten werken.
PHP is op zichzelf geen onveilige technologie. Het gaat om de kwetsbaarheden die in de software aanwezig kunnen zijn.
Wat is er aan de hand?
Cybersecurity-experts waarschuwen voor kwetsbaarheden die gezamenlijk bekendstaan als PHP2Shell. Volgens hun bevindingen kunnen kwaadwillenden hierdoor eigen computercode uitvoeren op kwetsbare systemen die PHP gebruiken.
De mogelijke gevolgen zijn ernstig. Denk aan het stelen van wachtwoorden, het uitlezen van gegevens of het uitvoeren van frauduleuze aankopen. Afhankelijk van de toegang die een aanvaller verkrijgt, kan zelfs de controle over een server in gevaar komen.
Het betekent niet dat iedere website die PHP gebruikt automatisch is gehackt. Wel vraagt dit soort kwetsbaarheden om snelle beoordeling en passende maatregelen.
Waarom halen organisaties hun websites offline?
Wanneer een kwetsbaarheid een serieus risico vormt, kan het tijdelijk uitschakelen van systemen een verstandige voorzorgsmaatregel zijn. Zeker wanneer nog niet duidelijk is hoe groot het risico is of wanneer systemen nog niet veilig kunnen worden bijgewerkt.
Een actueel voorbeeld is Albert Heijn. Na een cybersecurity-incident op 11 oktober werden uit voorzorg verschillende systemen uitgeschakeld. Daardoor waren onder meer de website, de app en de online bezorging tijdelijk beperkt beschikbaar. Ook de logistieke processen werden geraakt.
Belangrijk om hierbij te vermelden: er is geen bevestiging dat het incident bij Albert Heijn verband houdt met de PHP-kwetsbaarheden. Het voorbeeld laat wél zien hoe ingrijpend de gevolgen van een cybersecurity-incident kunnen zijn voor klanten en de bedrijfsvoering.
Een website offline halen lost de onderliggende kwetsbaarheid niet op. Het kan wel helpen om risico’s te beperken totdat systemen veilig kunnen worden hersteld.
Een kwetsbaarheid die mogelijk al jarenlang bestaat
Wat deze PHP-kwetsbaarheden extra opvallend maakt, is de berichtgeving dat de betreffende code al sinds 2004 in PHP aanwezig is.
Dat is enerzijds geruststellend: het feit dat een kwetsbaarheid bestaat, betekent niet automatisch dat systemen massaal worden aangevallen.
Anderzijds roept het vragen op. Als de kwetsbaarheid al zo lang aanwezig is, hadden kwaadwillenden er in principe mogelijk eerder misbruik van kunnen maken. Of dat daadwerkelijk is gebeurd, is niet vastgesteld.
Het onderstreept dat ook technologie die al jarenlang wordt gebruikt, telkens kritisch moet worden bekeken voordat nieuwe beveiligingsrisico’s aan het licht komen.
Wat kunnen organisaties hiervan leren?
Dit incident laat zien hoe belangrijk het is om te weten welke technologieën je gebruikt, waar deze draaien en wie verantwoordelijk is voor het onderhoud en de beveiliging ervan.
Want voordat je kunt bepalen of een kwetsbaarheid gevolgen heeft voor jouw organisatie, moet je eerst weten of je de betreffende technologie überhaupt gebruikt.
Cybersecurity begint niet alleen bij het oplossen van kwetsbaarheden. Het begint ook bij inzicht in je eigen systemen, afhankelijkheden en risico’s.