De onlangs ontdekte kwetsbaarheden in de programmeertaal PHP worden mogelijk misbruikt. Een signaal daarover komt echter niet uit België of Nederland. ‘Beveiligingsproblemen kunnen wel wereldwijd aangepakt worden.’
Het Nederlansde Nationaal Cyber Security Centrum (NCSC) ontving een melding van mogelijk misbruik in het buitenland, maar niet is bevestigd dat de aanval ook daadwerkelijk succesvol is geweest. Verdere signalen over misbruik zijn aannemelijk, aangezien er al zogenoemde proof of concepts (poc’s) bekend zijn. Dit betekent dat de kwetsbaarheid misbruikt kan worden.
Ook het Centrum voor Cybersecurity België (CCB) heeft naar eigen zeggen vooralsnog geen meldingen ontvangen van websites die via deze kwetsbaarheden zijn gehackt. ‘Dat betekent niet dat we volledig kunnen uitsluiten dat er ergens misbruik is gemaakt van de kwetsbaarheden’, klinkt het bij het CCB. ‘Maar dit verhaal laat wel zien hoe beveiligingsproblemen wereldwijd opgespoord en aangepakt kunnen worden, nog voordat cybercriminelen er misbruik van maken.’
Onderzoek laat zien dat het misbruiken van deze kwetsbaarheden ingewikkeld is en de kans op grootschalig misbruik kleiner dan eerder werd ingeschat.
Updates
Vooralsnog lijken de nieuwste PHP-updates goed te werken. De PHP Foundation heeft vrijdag een nieuwe kwetsbaarheid met CVE-2026-115560 bekendgemaakt. Het is volgens deze stichting onwaarschijnlijk dat het via deze kwetsbaarheid mogelijk is om Remote Code Executie (RCE) te verkrijgen. Deze kwetsbaarheid wordt door de PHP Foundation in een volgende reguliere bugfix release verholpen.
Afgelopen woensdag werden tal van websites uit de lucht gehaald. Nadat de organisatie achter PHP met patches was gekomen, kwamen veel sites weer geleidelijk terug online.
Veel risico’s
Maar het Nederlandse MindYourPass, een bedrijf uit Eindhoven dat voor klanten hun applicatiegebruik volgt, ziet nog veel risico’s. Slechts de helft van de Nederlandse PHP-gebruikers heeft zijn zaken op orde, zegt directeur Merijn de Jonge in NRC. De rest is nog niet overgegaan tot de installatie van beveiligingsupdates, wat dringend wordt aanbevolen. Die sites zijn nog steeds kwetsbaar. Het NCSC raadt organisaties aan niet te wachten op signalen van misbruik, maar de beveiligingsupdates zo snel mogelijk te installeren.
De kwetsbaarheden zijn een weeffout in de software, aldus minister David van Weel (Justitie en Veiligheid) in een brief aan de Tweede Kamer. Met de kwetsbaarheden in PHP zouden kwaadwillenden op afstand commando’s kunnen uitvoeren, ook wel Remote Code Execution (RCE) genoemd. Iedere site/webserver en systeem waarop PHP draait, loopt gevaar.
De kwetsbaarheden treffen daarnaast niet alleen websites, maar ook een grote diversiteit aan andere producten. Hier zitten oudere versies van PHP bij die niet meer worden voorzien van nieuwe updates of patches omdat ze reeds end-of-life zijn. Alle versies van PHP, in ieder geval versie 5 en hoger, zijn kwetsbaar. Daarmee zijn alle producten en componenten waar PHP in zit of wat gebruik maakt van PHP in potentie kwetsbaar. Dit betekent dat het van belang is dat organisaties zicht hebben op afhankelijkheden van PHP in de leveranciersketen.
Zwakheden
PHP-ontwikkelaars beschuldigen softwarebeveiliger Chainguard ervan begin deze week een embargo op kritieke kwetsbaarheden in de veelgebruikte scripttaal te hebben geschonden. Zo bericht het Britse Computing. Hierdoor kregen aanvallers de kans om de zwakheden uit te buiten nog voordat gebruikers officiële patches konden installeren. Volgens de PHP Foundation publiceerde Chainguard softwarepakketten die de fixes bevatten ruim zes uur vóór de geplande openbare bekendmaking. Hierdoor konden aanvallers de patches bestuderen en mogelijk achterhalen hoe ze niet-gepatchte systemen konden aanvallen.
Volgens Dan Lorenc, ceo van Chainguard, is besloten de beveiligingsupdates vrij te geven nadat meldingen waren binnengekomen over pogingen om de kwetsbaarheden actief uit te buiten. Ook groeide de vrees dat aanvallers kwetsbare systemen al in het vizier hadden.
Matthew Prince, ceo van Cloudflare, schreef op X: ‘In de tien uur vóór de openbare bekendmaking [van de kwetsbaarheid] zagen we op ons netwerk duizenden pogingen om deze uit te buiten. Dat aantal liep op tot tienduizenden in de 45 minuten na de bekendmaking, honderdduizenden binnen twee uur, en inmiddels gaat het om miljoenen pogingen.’
