Wereldwijd alarm om kwetsbaarheden in programmeertaal PHP

Kwetsbaarheden in programmeertaal PHP hebben potentieel zeer grote gevolgen, zegt ethisch hacker Wouter van Dongen. Wereldwijd draait ongeveer 70 procent van de websites op PHP of toepassingen daarvan. Veel overheidswebsites zijn uit voorzorg uit de lucht gehaald.

De cybersecuritydienst Cert-EU voor instituten van de Europese Unie waarschuwt voor twee 'kritieke kwetsbaarheden' in PHP. De organisatie achter die programmeertaal heeft melding gemaakt van onvolkomenheden die het onder meer mogelijk maken om van afstand een server aan te sturen. Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server. Het gevaar is dat sites worden overgenomen of dat iemand bij alle data kan, stelt Van Dongen.

'PHP is de onderliggende technologie waarmee je webapplicaties kan maken. Als dat kwetsbaar is, dan is alles daarop ook kwetsbaar,' legt Van Dongen uit. Hoe groot de gevolgen precies zijn, is nog onduidelijk omdat er nog veel details niet openbaar zijn. Uit voorzorg heeft Van Dongen zijn websites in ieder geval offline gehaald. 'Wij kunnen ons niet permitteren dat iemand bij onze data kan.' Dat de Amerikaanse cyberbeveiliger Cloudflare nu de eerste aanvallen meldt, verbaast hem niet. 'Hier gaan hackersgroepen vol op inzetten.' 

Het Nationaal Cyber Security Centrum heeft nog geen 'actief misbruik' gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om alvast voorbereidingen te treffen op de updates die vanmiddag beschikbaar worden gesteld, zodat die zo snel mogelijk geïnstalleerd kunnen worden.