Cybercriminelen bestoken momenteel op grote schaal webservers die draaien op PHP. Nog vóór de kwetsbaarheden onder de naam PHP2Shell gisteren openbaar werden gemaakt, registreerde beveiliger Cloudflare al duizenden pogingen om ze uit te buiten. As we speak, komt deze newsletter daarom met een dag vertraging uit. Op 23 oktober flikkeren de firewalls van alle hosts nog constant op. Ongezien.
Drie kwartier na de bekendmaking waren het er al tienduizenden. Toen gisterenmiddag een patch verscheen, liep het aantal aanvallen op tot meerdere miljoenen.
Een patch maakt een lek niet alleen dicht. Hij kan aanvallers ook tonen waar de zwakke plek zat: door de oplossing te bestuderen, wordt de kwetsbaarheid vaak makkelijker te herkennen. Bovendien proberen criminelen meteen na de publicatie uit te zoeken hoe ze de patch kunnen omzeilen. Zo begint een nieuwe ronde in het kat-en-muisspel.
Niet alle lekken gedicht
De PHP Foundation bracht gisteren in allerijl een beveiligingsupdate uit voor twee kritieke kwetsbaarheden. Aanvallers zouden die kunnen misbruiken om schadelijke code op websites te plaatsen. Op X verschenen echter vrijwel meteen berichten dat niet alle problemen zijn opgelost. Daarover wordt nog gediscussieerd; nieuwe kwetsbaarheden in PHP zijn niet uitgesloten.
Of de miljoenen pogingen ook tot succesvolle inbraken hebben geleid, is voorlopig onduidelijk. De gevaarlijkste aanvallen zijn vaak net die waarbij niemand iets merkt.
Het advies van het Nationaal Cyber Security Centrum (NCSC) blijft daarom: installeer de patch onmiddellijk. Veel organisaties haalden hun websites offline tot de update was toegepast. Ook NCSC.nl was enkele uren onbereikbaar. Grote sites als Overheid.nl en DigiD.nl zijn intussen weer online. Ook in Denemarken, Finland en Frankrijk werden tal van overheidswebsites uit voorzorg tijdelijk offline gehaald.
