NCSC onderzoekt eerste signalen van misbruik van kritieke PHP-kwetsbaarheden
Het NCSC onderzoekt eerste signalen van succesvol misbruik van twee kritieke kwetsbaarheden in PHP, de veelgebruikte programmeertaal voor websites en webapplicaties. Organisaties die de beschikbare beveiligingsupdates nog niet hebben geïnstalleerd, wordt dringend geadviseerd dat direct te doen. Systemen die nog kwetsbaar zijn, moeten uit voorzorg offline blijven totdat de updates zijn doorgevoerd.
Via de kwetsbaarheden kunnen aanvallers op afstand systemen overnemen. Het NCSC had uit voorzorg eerder zijn eigen website tijdelijk offline gehaald, net als meerdere diverse organisaties waaronder overheidsinstanties. Sinds de publicatie van de advisory en de komst van de beveiligingsupdates zijn verschillende websites weer online.
Situatie kan snel verergeren
Het NCSC waarschuwt dat de situatie snel kan verergeren, omdat er zogenoemde Proof of Concepts bekend zijn. Daarmee is aangetoond dat de kwetsbaarheden daadwerkelijk misbruikt kunnen worden. Het gebruik van artificiële intelligentie kan het misbruik mogelijk nog verder versnellen. Het NCSC adviseert organisaties daarom niet te wachten op signalen van misbruik, maar de updates direct te installeren.
Organisaties moeten nagaan welke PHP-versie zij gebruiken en de instructies van het NCSC en hun softwareleverancier volgen. Daarbij kunnen zij gebruikmaken van een beslisboom die het NCSC heeft opgesteld. Die beslisboom geeft met toelichting aan welke maatregelen een organisatie kan nemen als zij PHP gebruikt.
Patches voor meerdere versies
Het PHP-project heeft patches uitgebracht voor PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Gebruikers van Linux-distributies en LTS-versies krijgen het advies de beveiligingsupdates van hun eigen leverancier toe te passen.
PHP 8.1 en ouder worden niet meer regulier ondersteund door het PHP-project. Vanwege de ernst van de kwetsbaarheden heeft het PHP-team voor PHP 7.4, 8.0 en 8.1 toch minimale broncodepatches beschikbaar gesteld.
Wanneer direct updaten niet mogelijk is, bestaan er voor beide kwetsbaarheden tijdelijke mitigerende maatregelen. Het PHP-team benadrukt dat deze maatregelen slechts specifieke aanvalspaden beperken en geen volledige oplossing zijn. Alleen een beveiligingsupdate verhelpt de kwetsbaarheden volledig.
Technische informatie op GitHub
Het NCSC heeft op GitHub een pagina ingericht met technische informatie over de kwetsbaarheden. Die pagina wordt doorlopend bijgewerkt. Daar staat ook een inventarisatie van PHP-gerelateerde softwareproducten, zodat duidelijk wordt welke producten kwetsbaar zijn.
Meer over Security
Over Wouter Hoeffnagel
