Cybercriminelen doen momenteel op grote schaal aanvallen op webservers die in de taal PHP zijn geprogrammeerd. Voordat kwetsbaarheden in PHP (PHP2Shell) gisteren publiekelijk werden, constateerde beveiliger Cloudflare al duizenden pogingen om van het lek misbruik te maken.
Amper drie kwartier na de openbaarmaking van PHP2Shell waren dat er vele tienduizenden. En nadat gisterenmiddag een patch was gepubliceerd om kwetsbaarheden in PHP (PHP2Shell) te dichten, liep het aanvalsvolume op tot meerdere miljoenen.
Uit zo’n patch kunnen cybercriminelen namelijk afleiden waar de zwakke plekken in de veelgebruikte programmeertaal zitten. Door de pleister tegen het licht te houden zie je immers makkelijker waar de wond zit. Bovendien gaan aanvallers meteen na het vrijgeven van de patch kijken hoe ze die kunnen omzeilen. Dit maakt weer nieuwe patches noodzakelijk waardoor het kat-en-muisspel volgende fases ingaat.
Niet alles gedicht
De security-release die de PHP Stichting gisteren in allerijl uitbracht, repareert twee kritieke kwetsbaarheden die aanvallers kunnen misbruiken om websites met gevaarlijke code te injecteren. Maar op X verschenen direct al berichten dat niet alle gaten zijn gedicht. Hierover zijn discussies gaande. Nieuwe problemen rond PHP worden allerminst uitgesloten.
Of de miljoenen pogingen van aanvallers om servers te compromitteren succes hebben gehad, is vooralsnog niet duidelijk. De meest geslaagde inbraken zijn immers de inbraken die onopgemerkt blijven.
In ieder geval blijft het advies van het Nationaal Cyber Security Centrum (NCSC) onmiddellijk te patchen. Gisteren gaven veel organisaties gehoor aan de suggestie om websites offline te halen totdat een oplossing is toegepast. Ook NCSC.nl ging een aantal uren plat. Grote sites als Overheid.nl en Digid.nl zijn inmiddels weer in de lucht. Ook in Denemarken, Finland en Frankrijk werden veel (overheid)sites uit voorzorg offline gezet.
Gelopen race
Cyril Simonnet, directielid bij ai-beveiliger Sekoia.io, zegt dat ‘sneller patchen een race is die we al hebben verloren.’ Misbruik begint tegenwoordig gemiddeld een week vóórdat er überhaupt een patch beschikbaar is, terwijl een gemiddelde organisatie 43 dagen nodig heeft om een kwetsbaarheid volledig te dichten.
Security-experts moesten gisteren vele uren overwerken. Beheerders stonden voor de taak te controleren of ze onbewust PHP op hun systemen hebben draaien. Naast de problemen met PHP zorgde ook de opensource JavaScript runtime-omgeving Node.js voor hoofdpijn. De organisatie achter dit platform kwam met een patch die vier ernstige kwetsbaarheden moet repareren. Ook wist een cybercrimineel kwaadaardige code te injecteren in LiteLLM, een veelgebruikte opensource-proxy.
