De PHP Foundation heeft erkend dat problemen met de besluitvorming en beperkte middelen een PHP-beveiligingspatch hebben vertraagd voor een kwetsbaarheid die voor het eerst in 2024 werd ontdekt. Toen woensdag noodpatches voor twee gerelateerde kritieke kwetsbaarheden werden uitgebracht, haalden overheidsinstanties en andere organisaties uit voorzorg websites offline.

Belangrijkste punten

  • De stichting noemde de vertraagde reactie een structureel falen van het beveiligingsproces en de beschikbare middelen.
  • Door de kwetsbaarheden zouden niet-geauthenticeerde aanvallers code kunnen uitvoeren op getroffen servers.
  • Cryptobedrijven onderzochten hun blootstelling, terwijl Coinbase en BitGo meldden dat geen van hun systemen getroffen was.

Inhoudsopgave

PHP-beveiligingspatch vastgelopen door compatibiliteit en personeelsgebrek

Uit het relaas van de stichting blijkt dat de aandacht uitgaat naar de manier waarop een bekend technisch probleem maandenlang onopgelost bleef. Ontwikkelaars ontdekten in 2024 aanwijzingen voor de kwetsbaarheid, maar hadden moeite een oplossing te vinden die het uitgebreide software-ecosysteem dat op PHP is gebouwd niet zou verstoren. PHP wordt veel gebruikt voor websites en webapplicaties.

In die fase hadden ontwikkelaars nog geen manier vastgesteld om op afstand code uit te voeren. De kleine groep met de benodigde kennis van de PHP-engine had ook andere verantwoordelijkheden, waardoor het werk aan een patch volgens de stichting herhaaldelijk werd stilgelegd en hervat.

De stichting omschreef de vertraging als een “structureel falen”, veroorzaakt door zowel het besluitvormingsproces van het beveiligingsteam als een gebrek aan middelen.

Het probleem kreeg de hoogste beveiligingsprioriteit nadat beveiligingsbedrijf Calif en OpenAI op 11 augustus onafhankelijk van elkaar hetzelfde onderliggende probleem hadden gemeld. Calif demonstreerde onvoorwaardelijke uitvoering van code op afstand.

Voorzorgsmaatregelen treffen openbare diensten op meerdere plekken

De noodpatches veroorzaakten verstoringen in meerdere landen, doordat beheerders diensten uitschakelden terwijl ze updates voorbereidden. Nederland legde zijn digitale identiteitsdienst stil en ook het Nationaal Cyber Security Centrum haalde zijn eigen website offline.

De Finse overheids-IT-dienstverlener Valtori verbrak de verbinding met openbare overheidswebdiensten, terwijl het Franse ministerie van Binnenlandse Zaken websites van prefecturen tijdelijk offline haalde. De Duitse federale IT-dienstverlener ITZBund schakelde eveneens verschillende websites uit.

De Australian Signals Directorate meldde dat cyber.gov.au een van de overheidswebsites was die door het PHP-probleem werden getroffen. De Japanse premier Sanae Takaichi drong er bij beheerders op aan zich voor te bereiden op snelle installatie van de patch. Ze zei dat het tijdelijk opschorten van websitefuncties het risico kon verkleinen wanneer onmiddellijke updates niet mogelijk waren.

Ook de Wikimedia Foundation haalde ondersteunende diensten offline, waaronder Toolforge en Cloud VPS. Daardoor werden woensdag bepaalde functies van Wikipedia getroffen.

Cryptobedrijven beoordelen mogelijke blootstelling

Blockchainbeveiligingsbedrijf SlowMist meldde dat zijn dienst MistEye op 793 van de 1.488 onderzochte domeinen in de crypto-industrie directe PHP-kenmerken had gevonden. Het riep beurzen, DeFi-platforms en aanbieders van wallets op hun blootstelling te beoordelen en te upgraden. De bevindingen wezen op het gebruik van PHP, maar bevestigden niet dat die domeinen kwetsbaar waren.

Intersect, de ledenorganisatie die de ontwikkeling en het bestuur van Cardano ondersteunt, sloot tijdelijk zijn Members Area terwijl het de mogelijke blootstelling onderzocht.

Jeff Lunglhofer, chief security officer van Coinbase, zei dat het bedrijf geen aanwijzingen had gevonden voor blootgestelde PHP-instanties en ook navraag deed bij externe leveranciers. BitGo meldde afzonderlijk dat zijn platform niet was getroffen.

Exploitstatus blijft te onderscheiden van aangetoond risico

Ondanks het aangetoonde risico van uitvoering van code op afstand zei het beveiligingsteam van PHP dat het op het moment van de openbare bekendmaking geen werkende exploits had geïdentificeerd.

OpenAI bracht via GitHub een Codex-skill uit waarmee beheerders kunnen controleren of PHP-versies mogelijk kwetsbaar zijn en kunnen vaststellen welke updates van toepassing zijn.

Conclusie

De noodpatches verhelpen de directe kwetsbaarheden, terwijl de erkenning van de stichting tekortkomingen blootlegt in het proces dat de patches vertraagde. De gemelde uitval van websites was een voorzorgsmaatregel en geen bewijs dat de betrokken organisaties waren gehackt.

Lees meer nieuws

Meer nieuws van FinanceVelix

Disclaimer

Dit artikel van FinanceVelix bevat algemene informatie en geen persoonlijk financieel, beleggings-, juridisch of fiscaal advies. Marktprijzen, rentetarieven en economische omstandigheden kunnen veranderen; beleggen brengt verliesrisico's met zich mee. De feiten weerspiegelen de informatie die beschikbaar was op het moment van publicatie en kunnen veranderen. Controleer belangrijke informatie onafhankelijk en raadpleeg zo nodig een gekwalificeerde professional. De vermelding van een activum, bedrijf of dienst is geen aanbeveling.