Het Nationaal Cyber Security Centrum (NCSC) onderzoekt eerste signalen van succesvol misbruik van twee kritieke kwetsbaarheden in PHP. Via deze kwetsbaarheden kunnen aanvallers systemen op afstand overnemen. Er zijn patches beschikbaar. Het NCSC adviseert om direct te updaten en kwetsbare systemen tot die tijd offline te houden.
Het NCSC meldde de kwetsbaarheden op 21 oktober en publiceerde op 22 oktober een update. Uit voorzorg haalde het centrum zijn eigen website tijdelijk offline. Meerdere andere organisaties, waaronder overheidsinstanties, schakelden hun websites eveneens preventief uit. Sinds de publicatie van de advisory en het verschijnen van de beveiligingsupdates zijn verschillende van die websites weer online.
PHP is een veelgebruikte programmeertaal voor websites en webapplicaties. De kwetsbaarheden raken daarmee een breed scala aan omgevingen, van eigen webservers tot software van derden die op PHP is gebouwd.
Proof of Concepts bekend
Volgens het NCSC kan de situatie snel verergeren, omdat er Proof of Concepts (PoC’s) bekend zijn. Daarmee is aangetoond dat de kwetsbaarheden in de praktijk misbruikt kunnen worden. Het centrum wijst er ook op dat aanvallers met behulp van AI de kwetsbaarheden mogelijk nog sneller kunnen uitbuiten. Het NCSC raadt organisaties daarom met klem aan om niet te wachten op signalen van misbruik en de beschikbare updates direct te installeren.
Zolang systemen niet zijn bijgewerkt, adviseert het NCSC om ze uit voorzorg offline te houden. Controleer daarvoor eerst welke PHP-versie je organisatie of je klant gebruikt. Volg daarna de instructies van het NCSC en van de betreffende softwareleverancier.
Beschikbare patches
Het PHP-project heeft patches uitgebracht. Je upgradet naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruik je een Linux-distributie of een LTS-versie, dan pas je de beveiligingsupdates toe die je leverancier beschikbaar stelt.
PHP 8.1 en ouder valt buiten de reguliere ondersteuning van het PHP-project. Vanwege de ernst van de kwetsbaarheden heeft het PHP-team voor PHP 7.4, 8.0 en 8.1 toch minimale broncodepatches beschikbaar gesteld. Voor versies ouder dan 7.4 vermeldt het NCSC geen patches.
Tijdelijke maatregelen
Kun je niet direct updaten, dan zijn er voor beide kwetsbaarheden tijdelijke mitigerende maatregelen. Het PHP-team benadrukt dat die maatregelen alleen specifieke aanvalspaden beperken en geen volledige oplossing vormen. Alleen een beveiligingsupdate verhelpt de kwetsbaarheden volledig.
Beslisboom en technische details
Het NCSC heeft de handreiking met beslisboom bij PHP-kwetsbaarheden gepubliceerd. Aan de hand van die beslisboom en de bijbehorende toelichting ga je na welke maatregelen je kunt nemen als je PHP gebruikt.
Daarnaast houdt het NCSC een GitHub-pagina onder de naam php2shell bij met technische informatie over de kwetsbaarheden. Het centrum werkt die pagina doorlopend bij. Op de pagina staat ook een inventarisatie van PHP-gerelateerde softwareproducten, zodat je kunt nagaan welke producten kwetsbaar zijn.
Het volledige rapport is te lezen via handreiking met beslisboom bij PHP-kwetsbaarheden.
