PHP dicht twee kritieke lekken nadat wereldwijd websites offline werden gehaald

In dit artikel:

PHP-ontwikkelaars hebben beveiligingsupdates uitgebracht voor versies 8.2 tot en met 8.5. Daarmee moeten twee kritieke kwetsbaarheden worden verholpen. De makers roepen beheerders op hun systemen zo snel mogelijk bij te werken. De problemen bestaan echter in alle PHP-versies vanaf 5.4, terwijl alleen versies vanaf 8.2 nog actief worden ondersteund. Naar schatting draait minstens een kwart van de PHP-websites op oudere software. Voor die sites kan overstappen naar een recente versie noodzakelijk zijn. Dat kan ingewikkeld worden doordat oudere functies niet altijd goed samenwerken met nieuwe PHP-versies.

Uit voorzorg haalden organisaties wereldwijd tijdelijk websites en diensten offline. De problemen raakten onder meer de Tweede Kamer, ziekenhuizen, Schiphol, DigiD, provinciale overheidswebsites en nieuwsplatforms zoals RTL Nieuws en Tweakers. Bij het Jeroen Bosch Ziekenhuis konden patiënten bijvoorbeeld niet bij hun online dossier. Ook waren vluchtinformatie in de Schiphol-app en digitale vergaderingen van provincies niet beschikbaar. Naar verwachting worden veel maatregelen opgeheven zodra beheerders de update hebben uitgevoerd, maar sommige diensten kunnen langer ontoegankelijk blijven.

PHP beoordeelt de kwetsbaarheden met een ernstscore van 9,2 op 10, vanwege de mogelijke impact en de relatief eenvoudige uitbuiting. De PHP Foundation meldde aan ANP dat er geen aanwijzingen waren voor misbruik. Cloudflare rapporteerde daarentegen al aanvallen via PHP-verzoeken; het is niet bekend of die succesvol waren. In de systemen van Tweakers werden bovendien meer dan honderd scanpogingen geregistreerd. PHP wordt wereldwijd door 69,3 procent van de websites gebruikt en vormt onder meer de basis voor WordPress, Joomla, Drupal en Magento.