Pinewood-topman: Ouderdom PHP niet het probleem, onderhoud wel

Of een specifieke website of webapplicatie gevaar loopt, hangt volgens Kors af van de gebruikte softwareversie, de specifieke configuratie en de aanwezige beveiligingsmaatregelen. Organisaties moeten daarom volgens hem op de kortst mogelijke termijn in kaart brengen of hun systemen kwetsbaar zijn en waar nodig direct maatregelen nemen. Het verschil tussen een klein beveiligingsincident en een omvangrijke crisis wordt volgens de topman bepaald door de snelheid waarmee een aanval wordt ontdekt en gestopt.

Ouderdom van PHP niet de hoofdoorzaak

Dat PHP inmiddels dertig jaar bestaat, is volgens Kors niet de directe oorzaak van de huidige risico's. Ook moderne software bevat immers kwetsbaarheden. Het fundamentele probleem is dat software steeds complexer wordt en beveiligingslekken soms jarenlang onopgemerkt blijven totdat kwaadwillenden ze ontdekken.

Kors vergelijkt de situatie met een woning van dertig jaar oud: een ouder huis is niet per definitie onveilig, zolang eventuele zwakke plekken worden opgespoord en voorzien van goede sloten en cameratoezicht. Het gaat er niet om hoe oud de technologie is, maar hoe goed deze wordt onderhouden, geüpdatet en afgeschermd. Oude softwareversies die geen ondersteuning meer krijgen, vormen daarin wel een extra risico.

Risico's van massale standaardisatie

Het feit dat een zeer groot deel van de wereldwijde websites op dezelfde PHP-technologie draait, maakt het digitale ecosysteem kwetsbaar. Eén ernstig lek kan daardoor wereldwijd impact hebben. Toch noemt Kors het niet realistisch dat organisaties massaal overstappen op andere programmeertalen. Standaardisatie biedt immers ook voordelen, zoals een brede ondersteuning en snelle beschikbaarheid van updates.

Het werkelijke probleem ontstaat volgens Pinewood wanneer organisaties te afhankelijk worden van één technologie zonder aanvullende beveiligingslagen toe te passen. Aangezien kwetsbaarheden nooit helemaal uitgesloten kunnen worden, ligt de prioriteit bij het voorkomen dat één zwakke schakel de gehele organisatie platlegt.

In het ergste geval kunnen cybercriminelen via de PHP-kwetsbaarheid systemen volledig overnemen en toegang krijgen tot gevoelige bedrijfs- en klantgegevens, databases of intellectueel eigendom. Daarnaast kunnen gecompromitteerde systemen worden ingezet als springplank voor verdere aanvallen. Kors benadrukt dat de eerste stap voor elke organisatie nu helder is: direct de eigen kwetsbaarheid vaststellen, eventuele lekken dichten en aanvallen tijdig signaleren.