Op dinsdag 20 oktober kondigde het PHP-project aan dat er twee kritieke kwetsbaarheden in PHP zijn gevonden en dat de beveiligingsupdate op woensdag 21 oktober om 16:00 uur wordt vrijgegeven. PHP is de programmeertaal achter ongeveer zeventig procent van alle websites, waaronder elke WordPress-site. CERT-EU adviseert organisaties om direct te updaten zodra dat kan, en om internetgerichte toepassingen die niet dagelijks nodig zijn tot die tijd uit te schakelen. In Nederland zijn onder meer de website van de Tweede Kamer, het publicatiesysteem van gemeenten en delen van het onderwijsnetwerk uit voorzorg offline gehaald.
Waarom dit lek anders is dan de meeste
De meeste beveiligingsproblemen zitten in één plugin of één pakket. Dit lek zit in PHP zelf. Dat betekent dat elke site die PHP draait in principe kwetsbaar kan zijn, los van hoe goed de site zelf is gebouwd. Volgens de beschikbare informatie maken de kwetsbaarheden het mogelijk om van afstand code op een server uit te voeren. Wie dat lukt, heeft toegang tot alles wat die server kan zien.
Het tweede verschil is de snelheid. Zodra een update verschijnt, is uit de wijzigingen af te leiden waar het probleem zat. Vroeger duurde het dagen voordat criminelen daar een werkende aanval van maakten. Met de huidige AI-hulpmiddelen gaat dat in uren. De eerste geautomatiseerde scans van het hele internet worden dan ook op de avond van 21 oktober verwacht.
Wat IT Live vandaag doet
Ook onze eigen platformen en de websites die wij voor klanten hosten draaien op PHP. Wij hebben daarom vandaag het volgende ingericht, en dat loopt al voordat de update verschijnt:
- Automatisch installeren binnen minuten. Een wachter controleert elke drie minuten of de PHP-update beschikbaar is. Zodra dat zo is, wordt hij op al onze servers geïnstalleerd, worden alle PHP-diensten herstart en wordt gecontroleerd of de sites weer normaal antwoorden. Wij wachten dus niet tot iemand het handmatig oppakt.
- Inbraakwacht na de update. De 48 uur na de update controleert een tweede wachter elke tien minuten op tekenen van misbruik: nieuwe programmabestanden op plekken waar ze niet horen, onbekende processen, nieuwe open poorten en foutpieken. Afwijkingen komen direct bij ons binnen.
- Volledige inbraakcontrole vooraf. Op 20 en 21 oktober hebben wij beide servers volledig nagelopen: inlogpogingen, sleutels, geplande taken, processen, netwerkverkeer, en de code van alle gehoste sites op kenmerken van kwaadaardige bestanden. Daarbij zijn geen aanwijzingen voor een inbraak gevonden.
- Wekelijkse integriteitscontrole. Vanaf deze week controleren wij elke week automatisch of systeembestanden ongewijzigd zijn, of er rootkits aanwezig zijn, of er nieuwe toegangssleutels of open poorten bij zijn gekomen en of er kwaadaardige code in websites is beland. Alleen wat nieuw is, wordt gemeld, zodat echte signalen niet verdwijnen in ruis.
Wat u zelf kunt doen
Host u uw website ergens anders, of beheert u zelf een server? Dan is dit het moment om te handelen:
- Vraag uw hostingpartij vandaag nog schriftelijk wanneer de PHP-update wordt doorgevoerd en of dat automatisch gebeurt.
- Werk WordPress, thema's en plugins bij. Het PHP-lek staat daar los van, maar verouderde plugins zijn de meest gebruikte ingang.
- Controleer dat u een recente back-up heeft die buiten de server staat, en test of u die kunt terugzetten.
- Schakel toepassingen uit die u niet dagelijks gebruikt, zoals oude testomgevingen, demosites en vergeten installaties. Minder oppervlak is minder risico.
- Kijk de komende dagen of uw site zich anders gedraagt: onverwachte doorverwijzingen, nieuwe beheerders, trage pagina's of meldingen van bezoekers.
Eerlijk over wat hosting wel en niet kan
Geen enkele hostingpartij kan garanderen dat een lek in de programmeertaal zelf nooit misbruikt wordt. Wat wel kan, is het venster zo klein mogelijk maken: de update binnen minuten in plaats van dagen, direct zien als er toch iets gebeurt, en een inrichting waarin één gekraakte site niet automatisch alles blootlegt. Aan dat laatste werken wij stap voor stap, met eigen databaserechten per toepassing en gescheiden omgevingen per klant. Daar zijn we open over, ook als het nog niet af is.
Twijfelt u of uw website veilig is, of wilt u weten hoe uw huidige hosting dit heeft opgepakt? Bel of app ons op 085 060 4471, dan kijken we vandaag nog mee.