Verschillende websites, waaronder die van de Tweede Kamer, zijn uit voorzorg offline gegaan vanwege kwetsbaarheden in de codetaal PHP. Daarop draaien grote delen van het internet. De PHP Foundation zegt later vanmiddag een oplossing te hebben. Cyberbeveiliger CloudFlare meldt cyberaanvallen die het lek al proberen te misbruiken.
is techredacteur van de Volkskrant. Hij schrijft onder meer over digitale autonomie, sociale media en games.
Naar schatting draait bijna 70 procent van het internet op PHP, of op applicaties die er gebruik van maken. Daardoor zijn de twee kwetsbaarheden die de PHP Foundation dinsdagavond meldde potentieel zeer gevaarlijk. Op een gezaghebbende risicoschaal voor cyberveiligheid scoort het lek een 9,2 uit 10, meldt de stichting.
Cybersecurity-experts van watchTowr stellen dat het gaat om kwetsbaarheden, gezamenlijk PHP2Shell genoemd, waardoor kwaadwillenden hun eigen computercode kunnen injecteren in websites die gebruikmaken van PHP. Cybercriminelen kunnen hierdoor in feite doen wat ze willen, van het stelen van wachtwoorden tot het uitvoeren van frauduleuze aankopen.
De PHP Foundation zegt te werken aan een oplossing, die woensdagmiddag om uiterlijk 16.00 uur klaar moet zijn. Eigenaars van websites en webhosters kunnen hun diensten dan updaten, waarna het lek gedicht zou moeten zijn.
Er stond al een update van PHP op de planning, maar die is naar voren geschoven nadat informatie over de kwetsbaarheden was uitgelekt op de nieuwssite Hacker News. Op X meldt Dane Knecht van cybersecurity- en cloudbedrijf CloudFlare dat hackers al misbruik proberen te maken van de PHP2Shell-kwetsbaarheden. Het Nationaal Cyber Security Centrum (NCSC) heeft echter nog geen ‘actief misbruik’ gesignaleerd.
Uit voorzorg zijn onder meer de websites van de Tweede Kamer, de Autoriteit Persoonsgegevens, het NCSC en persbureau ANP offline gehaald. Ook het computernetwerk voor hoger onderwijs, DigiD en MijnOverheid zijn tijdelijk op zwart gezet.
Vooral mensen met WordPress-websites moeten goed opletten wanneer de update van PHP online komt, stelt Felienne Hermans, hoogleraar informatica aan de Vrije Universiteit Amsterdam. WordPress is een veelgebruikte dienst voor het maken van websites, die gebruikmaakt van PHP. Het bedrijf achter WordPress stelt dat het meer dan 40 procent van alle websites beheert.
Ook zegt Hermans dat het over code gaat die al in 2004 in PHP zit. Aan de ene kant kun je dit positief uitleggen, omdat het internet sinds 2004 niet volledig in elkaar is gestort door het PHP2Shell-lek. Aan de andere kant is het juist reden tot zorg: ‘Cybercriminelen zouden de kwetsbaarheden in principe al jaren hebben kunnen misbruiken’, zegt Hermans.
De situatie rond het lek in internetcode PHP is anders dan de recente hacks bij Odido of Albert Heijn: die vielen direct op, omdat hackers dreigden data te verkopen (in het geval van Odido) of doordat schappen in de supermarkt leeg kwamen te staan. De gevolgen van het PHP-lek zijn daarentegen mogelijk onzichtbaar: ‘Dit is hypothetisch, maar een hacker zou bijvoorbeeld een programma hebben kunnen injecteren om bij een webshop of politieke partij toetsaanslagen op te slaan. Daar is vervolgens van alles mee te doen, maar de hacker heeft er juist baat bij dit geheim te houden.’
Heeft de toename in grootschalige hacks iets te maken met nieuwe AI-tools, waardoor kwaadwillenden veel sneller kwetsbaarheden kunnen ontdekken in computercode? ‘Misschien wel, misschien niet’, zegt Hermans. ‘Het is op dit moment simpelweg niet bekend in welke mate AI een rol speelt, ook bij het PHP-lek.’
De kans is echter zeker aanwezig. Maar niet alleen omdat hackers de tools gebruiken. ‘Programmeurs gebruiken deze tools ook’, zegt Hermans. ‘Het zou best kunnen dat een programmeur van PHP het lek zelf heeft gevonden.’
Ondertussen is menselijk falen nog altijd aan de orde van de dag, in de geruchtmakende hacks van de laatste tijd. Ook in Frankrijk werden recentelijk supermarkten gehackt. ‘Daar werden koelkasten opeens op de maximale temperatuur gezet’, zegt Hermans. Maar dat kwam doordat de supermarkten de standaardgebruikersnaam ‘admin’ gebruikten, en als wachtwoord de datum van de dag. ‘Dat is de fabrieksinstelling’, aldus Hermans. ‘Dus dat van die maximumtemperatuur was niet bepaald een geavanceerde hack.’
Luister hieronder naar onze podcast de Volkskrant Elke Dag. Kijk voor al onze podcasts op volkskrant.nl/podcasts.
Geselecteerd door de redactie
Source: Volkskrant