Het Europese cybernoodteam heeft websites die de twee kritieke PHP-kwetsbaarheden niet kunnen oplossen, geadviseerd om mogelijk offline te gaan. Beide kwetsbaarheden kunnen aanvallers toegang geven tot webservers zonder in te loggen.
PHP is de basis van een groot deel van het web, van WordPress-blogs tot Magento-webwinkels. Maar de details van beide kwetsbaarheden zijn al online gelekt voordat de oplossingen klaar waren.
Aanvallers hadden een voorsprong
Het lek verscheen op 20 oktober, eerder dan gepland, zo meldde Huntress. Het beveiligingsteam van de PHP Foundation had de officiële bekendmaking gepland op 21 oktober om 14:00 uur UTC.
Beveiligingsbedrijf watchTowr heeft volgens Huntress inmiddels één van de twee bugs kunnen reproduceren. Huntress zelf zei tot nu toe geen misbruik te hebben gezien bij hun klanten.
Daartegenover zei Cloudflare’s Chief Technology Officer Dane Knecht dat aanvallen al zijn gestart. Zijn bedrijf heeft firewall-regels ingesteld tegen de bekende aanvalsvectoren voor alle klanten, ook voor gratis gebruikers.
We zien de eerste aanvallen opkomen en werken onze beveiliging bij zodra er nieuwe mogelijkheden bij komen. Dit is slechts een tijdelijke oplossing.
Knecht deelde de waarschuwing in een post op X.
Het European Union Computer Emergency Response Team (CERT-EU) en het Australische cyberagentschap waarschuwden dat de PHP-kwetsbaarheden elke versie vanaf PHP 5 kunnen treffen, zo meldde Reuters.
Sommige onderzoekers verwachten dat alleen de ondersteunde PHP 8-versies updates krijgen, aldus Huntress. Hierdoor blijven websites met oudere, niet-ondersteunde PHP-versies waarschijnlijk zonder oplossing.
Deze waarschuwing komt enkele weken nadat meer dan 100 bedrijven waarschuwden voor een sterke toename van AI-cyberaanvallen in de komende maanden.
Wat PHP-kwetsbaarheden betekenen voor website-eigenaren
Ongeveer 69% van de websites waarbij de serversoftware bekend is, draait op PHP, blijkt uit cijfers van W3Techs. Alleen al WordPress draait op ongeveer 40% van alle websites.
CERT-EU gaf aan dat een 9,2 als ernstscore betekent dat het gaat om ‘unauthenticated remote code execution’. Simpel gezegd: een buitenstaander kan kwaadaardige code uitvoeren op een server zonder inloggegevens.
Webhost GoDaddy waarschuwde dat aanvallers data kunnen stelen, websites kunnen aanpassen of zelfs volledige controle kunnen krijgen over het systeem. Gestolen gegevens zijn waardevol, zoals de aanvallen op Zuid-Koreaanse banken lieten zien.
Beveiligingsplugin Wordfence merkte op dat elke WordPress-site draait op een PHP-server. Toch lossen automatische WordPress-updates deze PHP-kwetsbaarheden niet op. Website-eigenaren moeten daarom nagaan wie het PHP-beheer doet.
Aanvallen op gewone infrastructuur blijven toenemen, wat bijvoorbeeld duidelijk werd bij de French supermarktkoelkast-hack in oktober. Deze PHP-kwetsbaarheden verschuiven die dreiging naar de softwarelaag waarop het grootste deel van het web draait, waar één gemiste serverupdate al genoeg kan zijn voor een aanval.
