Een beveiligingsprobleem in een veelgebruikte programmeertaal zorgt wereldwijd voor onrust bij websitebeheerders en cybersecurityspecialisten. In PHP zijn twee ernstige kwetsbaarheden ontdekt die aanvallers mogelijk toegang kunnen geven tot systemen zonder dat zij daarvoor hoeven in te loggen. De risico’s zijn zo groot dat Nederlandse organisaties uit voorzorg digitale diensten hebben uitgeschakeld.
Onder meer persbureau ANP heeft systemen offline gehaald. Ook NotuBiz, een platform waarmee ruim honderd Nederlandse overheden vergaderinformatie en documenten publiceren, is tijdelijk niet beschikbaar. Volgens het bedrijf is dat een voorzorgsmaatregel en zijn er geen aanwijzingen dat systemen daadwerkelijk zijn binnengedrongen.
De situatie maakt duidelijk hoe afhankelijk organisaties zijn geworden van software die grotendeels buiten het zicht van gebruikers draait. Een webshop kan goed functioneren, een gemeentelijke website kan dagelijks worden bijgewerkt en een bedrijfsportaal kan jarenlang probleemloos werken. Toch kan één kwetsbaarheid in de onderliggende technologie voldoende zijn om de beveiliging plotseling ter discussie te stellen.
Twee kwetsbaarheden met zeer hoge ernstscore
De ontwikkelaars van PHP maakten op dinsdag 20 oktober bekend dat zij werken aan een beveiligingsupdate voor twee kritieke kwetsbaarheden. Beide hebben een score van 9,2 gekregen op de zogeheten CVSS-schaal, waarmee de ernst van beveiligingsproblemen wordt beoordeeld.
Dat is een uitzonderlijk hoge beoordeling. Het risico is dat kwaadwillenden op afstand eigen code kunnen laten uitvoeren op een kwetsbare server. In het ongunstigste geval kan een aanvaller daardoor toegang krijgen tot bestanden, gegevens achterhalen of verdere handelingen uitvoeren binnen een systeem.
Niet iedere website die PHP gebruikt, is daarmee automatisch gehackt of op dezelfde manier kwetsbaar. Welke installaties daadwerkelijk risico lopen, hangt onder meer af van de gebruikte softwareversie en technische inrichting. De volledige details waren bij de aankondiging nog niet openbaar. Juist die onzekerheid maakt de situatie lastig voor beheerders, omdat zij moeten ingrijpen voordat precies bekend is waar het probleem zich bevindt.
Het PHP-ontwikkelingsteam heeft voor woensdag 21 oktober om 16.00 uur Nederlandse tijd een beveiligingsupdate aangekondigd. Op het moment van schrijven is deze nog niet beschikbaar. Pas bij de publicatie wordt duidelijk welke versies geraakt worden en welke updates de kwetsbaarheden verhelpen.
Waarom PHP zo belangrijk is voor het internet
PHP is een programmeertaal die vooral wordt gebruikt voor de verwerking van informatie op webservers. Bezoekers merken daar normaal gesproken niets van. Zij zien een website, plaatsen een bestelling, vullen een formulier in of loggen in op een klantenportaal. Achter de schermen zorgt PHP bij veel van die toepassingen voor de verwerking van gegevens en het opbouwen van webpagina’s.
De programmeertaal wordt onder meer gebruikt door bekende websitesystemen zoals WordPress, Drupal, Joomla en verschillende webwinkelplatforms. Ook veel maatwerksoftware voor bedrijven en overheden draait op PHP.
Hoewel het gebruik van de taal relatief afneemt, vormt PHP nog altijd de basis van een groot deel van het internet. Daardoor kan een beveiligingsprobleem veel verder reiken dan één softwarebedrijf of één specifieke applicatie.
Vooral kleinere organisaties zijn zich niet altijd bewust van die afhankelijkheid. Een ondernemer weet doorgaans welk websitesysteem wordt gebruikt, maar niet noodzakelijk welke PHP-versie daaronder draait. Dat technische beheer ligt vaak bij een hostingbedrijf, webbouwer of externe IT-partij.
Dat maakt de ontdekking van de kwetsbaarheden ook een kwestie van verantwoordelijkheden. Wie controleert de gebruikte versies, wie installeert de updates en wie beoordeelt of een website tijdelijk moet worden afgeschermd?
Nederlandse overheden nemen voorzorgsmaatregelen
De gevolgen zijn in Nederland al merkbaar. NotuBiz heeft diensten tijdelijk uitgeschakeld vanwege de waarschuwing. Het platform wordt gebruikt door ruim honderd gemeenten en andere overheidsorganisaties om vergaderstukken, besluiten en andere bestuurlijke informatie toegankelijk te maken.
Dat lijkt misschien een relatief beperkt technisch probleem, maar voor lokale overheden heeft zo’n onderbreking directe gevolgen. Raadsleden en Statenleden gebruiken deze systemen om documenten te raadplegen en vergaderingen voor te bereiden. Ook inwoners, journalisten en andere belangstellenden kunnen er openbare informatie vinden.
Wanneer zo’n platform uit voorzorg offline gaat, vermindert tijdelijk de toegankelijkheid van die informatie. Tegelijk voorkomt de organisatie daarmee mogelijk een veel groter probleem. Een beveiligingsincident waarbij gegevens worden buitgemaakt of systemen worden overgenomen, kan immers langduriger gevolgen hebben dan een tijdelijke onderbreking.
Ook ANP heeft volgens de NOS systemen uit voorzorg uitgeschakeld. Vooralsnog is daarmee niet vastgesteld dat deze organisaties slachtoffer zijn geworden van een aanval. De maatregelen laten vooral zien dat de waarschuwing serieus wordt genomen.
Eerste aanvalspogingen al waargenomen
Het Amerikaanse cybersecuritybedrijf Cloudflare meldt inmiddels de eerste pogingen te zien om de kwetsbaarheden te misbruiken. Cloudflare verzorgt onder meer beveiliging en bescherming tegen kwaadaardig internetverkeer voor grote aantallen websites.
Het bedrijf gebruikt beveiligingsregels om verdachte verzoeken tegen te houden. Daarmee kan een deel van de aanvallen worden geblokkeerd voordat zij een kwetsbare website bereiken.
Dat biedt tijdelijk bescherming, maar neemt het onderliggende probleem niet weg. Een firewall kan bekende aanvalspatronen herkennen en tegenhouden, maar biedt geen absolute garantie tegen alle mogelijke manieren waarop een kwetsbaarheid wordt misbruikt.
Ook is het belangrijk onderscheid te maken tussen een aanvalspoging en een geslaagde aanval. Dat Cloudflare verdachte activiteiten ziet, betekent nog niet dat grote aantallen websites daadwerkelijk zijn overgenomen. Wel onderstreept het hoe snel aanvallers proberen te profiteren wanneer informatie over ernstige softwareproblemen naar buiten komt.
De snelheid vormt een van de grootste uitdagingen voor websitebeheerders. Tussen het bekend worden van een kwetsbaarheid en het installeren van een beveiligingsupdate kan een periode ontstaan waarin systemen extra risico lopen.
Gevaar voor klantgegevens en bedrijfsinformatie
Voor bedrijven draait de dreiging niet alleen om de bereikbaarheid van hun website. Veel websites verwerken informatie die voor een organisatie commercieel of juridisch gevoelig is. Denk aan klantgegevens, adressen, bestellingen, contactformulieren, accounts en interne documenten.
Wanneer een aanvaller erin slaagt kwaadaardige code op een webserver uit te voeren, kan de schade aanzienlijk zijn. Afhankelijk van de beveiliging en de toegangsrechten kan iemand bestanden bekijken, gegevens aanpassen of proberen verder door te dringen tot andere systemen.
Bij een webshop kan dat leiden tot problemen met bestellingen of klantinformatie. Bij een zakelijke dienstverlener kunnen vertrouwelijke documenten of klantportalen risico lopen. Voor overheden en maatschappelijke organisaties kunnen ook de beschikbaarheid van dienstverlening en het vertrouwen van burgers in het geding komen.
Niet elke kwetsbaarheid leidt automatisch tot een datalek. Of gegevens daadwerkelijk toegankelijk zijn, hangt af van de technische omstandigheden en de eventuele beveiligingsmaatregelen. Maar omdat de gevolgen potentieel groot zijn, adviseren cybersecurityorganisaties om niet af te wachten.
Vooral kleinere ondernemers zijn afhankelijk van externe beheerders
Voor grote organisaties is cybersecurity meestal verdeeld over gespecialiseerde medewerkers. Zij volgen beveiligingsmeldingen, beheren softwareversies en kunnen incidenten onderzoeken. Kleinere bedrijven hebben die capaciteit vaak niet zelf in huis.
Een webshopondernemer kan bijvoorbeeld een website laten bouwen en vervolgens vooral bezig zijn met verkoop, klantenservice en voorraad. Een installatiebedrijf gebruikt de website om aanvragen te ontvangen. Een adviesbureau heeft een klantenportaal waarop documenten worden uitgewisseld. In zulke situaties wordt het technische onderhoud geregeld door een externe partij, of soms pas uitgevoerd wanneer er problemen ontstaan.
Dat hoeft geen probleem te zijn, zolang duidelijk is wie verantwoordelijk is. Maar wanneer een kritieke kwetsbaarheid opduikt, moet die verantwoordelijkheid meteen praktisch worden.
Wordt PHP automatisch door het hostingbedrijf bijgewerkt? Moet de webbouwer daarvoor opdracht krijgen? Zijn er verouderde versies in gebruik? En wat gebeurt er als een noodzakelijke update niet goed samengaat met bestaande plugins of maatwerksoftware?
Juist bij oudere websites kan dat ingewikkeld worden. Soms draaien systemen al jaren op dezelfde technische basis omdat aanpassing kostbaar is of omdat nieuwe versies niet zonder meer samenwerken met bestaande onderdelen.
Een WordPress-update alleen is niet voldoende
Voor ondernemers met een WordPress-website is het belangrijk om onderscheid te maken tussen het websitesysteem en de servertechnologie.
WordPress heeft een eigen systeem voor updates van de software, plugins en thema’s. PHP draait daaronder op de server. Een bijgewerkte WordPress-installatie betekent daarom niet automatisch dat ook de PHP-omgeving van de nieuwste beveiligingsupdates is voorzien.
Dat verschil wordt bij dit incident belangrijk. Een ondernemer kan het WordPress-dashboard openen en zien dat alle beschikbare updates zijn uitgevoerd, terwijl de PHP-versie door het hostingbedrijf wordt beheerd.
Daarom is alleen controleren of de website zelf up-to-date is niet voldoende. Ook de PHP-versie en het updatebeleid van de hostingpartij moeten worden nagegaan.
Bij gedeelde hosting wordt PHP doorgaans centraal beheerd. Bij een eigen server of speciaal ingerichte hostingomgeving kan de verantwoordelijkheid anders liggen. Het belangrijkste is dat de eigenaar van de website weet wie de beveiligingsupdate daadwerkelijk uitvoert en wanneer dat gebeurt.
Tijdelijk offline halen kan verstandiger zijn
De Europese cybersecuritydienst CERT-EU waarschuwt eveneens voor de twee kritieke kwetsbaarheden. Organisaties krijgen het advies hun PHP-installaties in kaart te brengen en de noodzakelijke beveiligingsupdates zo snel mogelijk te installeren zodra die beschikbaar zijn.
Wanneer dat niet direct kan, adviseert CERT-EU om te overwegen kwetsbare, publiek toegankelijke systemen tijdelijk van het internet af te schermen.
Voor ondernemers is dat een lastige afweging. Een website uitschakelen betekent mogelijk minder bestellingen, gemiste aanvragen en klanten die niet terechtkunnen. Zeker voor webshops en online dienstverleners kan een onderbreking direct omzet kosten.
Toch kan tijdelijk stoppen met bepaalde online functies minder schadelijk zijn dan een ernstig beveiligingsincident. Als gegevens worden gestolen, systemen moeten worden hersteld of klanten hun vertrouwen verliezen, kunnen de gevolgen veel langer doorwerken.
Of afsluiten noodzakelijk is, hangt af van het daadwerkelijke risico, de gebruikte software en de beschikbare tijdelijke bescherming. Het is daarom verstandig dat organisaties zo’n beslissing samen met hun hostingbedrijf of beveiligingsspecialist nemen.
Bedrijven moeten niet wachten op een incident
Voor website-eigenaren is het belangrijkste dat zij nu laten controleren welke PHP-versie hun website gebruikt en hoe de update wordt uitgevoerd. Het PHP-team publiceert bij de beveiligingsrelease welke versies geraakt worden en welke nieuwe versies het probleem oplossen.
Daarnaast verdient het aanbeveling om te controleren of goede back-ups beschikbaar zijn en of de website na een update nog naar behoren werkt. Een beveiligingsupdate moet snel worden uitgevoerd, maar het is eveneens belangrijk dat bestelformulieren, betalingen, klantaccounts en andere essentiële functies blijven werken.
Ook na het installeren van de update kan controle nodig zijn. Wanneer een systeem eerder kwetsbaar is geweest, betekent het dichten van het beveiligingslek niet automatisch dat eventuele ongeoorloofde toegang ongedaan is gemaakt. Bij aanwijzingen voor misbruik moet daarom worden onderzocht of aanvallers al toegang hebben gehad.
Voor organisaties die persoonsgegevens verwerken, kunnen bij een daadwerkelijk datalek bovendien wettelijke verplichtingen gelden. Afhankelijk van het incident kan melding bij de Autoriteit Persoonsgegevens nodig zijn.
Cyberveiligheid wordt steeds meer een bedrijfsrisico
De ontdekking van de PHP-lekken staat niet op zichzelf. Bedrijven en overheidsorganisaties worden vaker geconfronteerd met beveiligingsproblemen in software waarvan zij afhankelijk zijn.
Dat heeft ook te maken met de manier waarop digitale dienstverlening is georganiseerd. Websites draaien meestal niet op één programma, maar op een combinatie van programmeertalen, serversoftware, databases, plugins, externe koppelingen en hostingdiensten.
Een kwetsbaarheid in één onderdeel kan daardoor gevolgen hebben voor meerdere toepassingen tegelijk. Voor gebruikers is die afhankelijkheid nauwelijks zichtbaar, totdat een dienst onverwacht uitvalt of tijdelijk wordt afgesloten.
Het Nationaal Cyber Security Centrum en andere beveiligingsorganisaties benadrukken al langer dat digitale veiligheid niet uitsluitend een technisch onderwerp is. Bestuurders en ondernemers moeten weten welke systemen essentieel zijn, welke risico’s daarbij horen en hoe hun organisatie kan blijven functioneren bij een incident.
Dat geldt ook voor kleine ondernemingen. Een website die vooral bedoeld is om klanten aan te trekken, kan minder kritisch lijken dan een compleet bedrijfsnetwerk. Maar wanneer die website klantgegevens verwerkt, betalingen afhandelt of rechtstreeks met interne systemen communiceert, kan een beveiligingsprobleem veel verder doorwerken.
Verouderde software blijft een kwetsbare schakel
De nieuwe kwetsbaarheden vestigen opnieuw de aandacht op verouderde software. Sommige websites gebruiken PHP-versies die al langere tijd niet meer regulier worden ondersteund. Voor zulke installaties kan het lastiger zijn om nieuwe beveiligingsproblemen te verhelpen.
Een update naar een ondersteunde versie is dan vaak noodzakelijk, maar kan technische aanpassingen vragen. Oudere plugins, maatwerkfuncties en koppelingen werken niet altijd direct met nieuwere software.
Dat zorgt in de praktijk voor uitstel. Een website functioneert immers nog, terwijl de kosten en risico’s van een grote technische aanpassing direct voelbaar zijn.
Toch kan dat uitstel op lange termijn duur uitpakken. Wanneer een kritieke kwetsbaarheid wordt ontdekt, is er soms weinig tijd meer om rustig een migratie voor te bereiden. Wat eerder een gepland onderhoudsproject had kunnen zijn, verandert dan in een dringende beveiligingskwestie.
Voor bedrijven is dat een reden om niet alleen te kijken naar de maandelijkse hostingkosten, maar ook naar het onderhoud en de toekomstbestendigheid van de gebruikte software.
De komende uren zijn belangrijk
De aangekondigde beveiligingsupdate voor PHP moet meer duidelijkheid brengen over de precieze kwetsbaarheden. Pas wanneer de technische informatie openbaar wordt, kunnen beheerders volledig beoordelen welke systemen geraakt worden en welke maatregelen noodzakelijk zijn.
Daarmee is de situatie op woensdag 21 oktober nog volop in ontwikkeling. De eerste aanvalspogingen zijn gemeld, Nederlandse organisaties nemen voorzorgsmaatregelen en beveiligingsspecialisten bereiden zich voor op het uitvoeren van updates.
Hoeveel websites daadwerkelijk kwetsbaar blijken en of aanvallers al op grotere schaal toegang hebben gekregen, is nog niet vastgesteld.
Wat inmiddels wel duidelijk is, is dat een kwetsbaarheid in veelgebruikte software binnen korte tijd gevolgen kan hebben voor duizenden organisaties die daar zelf nauwelijks zicht op hebben. Het offline halen van systemen bij onder meer NotuBiz en ANP laat zien dat de impact niet beperkt blijft tot ontwikkelaars en IT-specialisten.
Voor bedrijven is het daarom verstandig om hun websitebeheer niet alleen als een kwestie van beschikbaarheid en vormgeving te beschouwen. De software onder een website verdient net zo goed aandacht als de zichtbare voorkant.
Bronnen: NOS, PHP Development Team, CERT-EU, Binnenlands Bestuur en Reuters.
