Europese cyberdienst waarschuwt voor PHP-kwetsbaarheden 

CERT-EU, de cybersecuritydienst voor EU-instellingen, waarschuwt voor twee kritieke kwetsbaarheden in PHP, een programmeertaal die wereldwijd wordt gebruikt voor websites. De beveiligingslekken kunnen aanvallers mogelijk in staat stellen om op afstand controle over servers te krijgen.

PHP wordt wereldwijd op grote schaal gebruikt voor websites en webapplicaties. Bekende voorbeelden zijn Wikipedia, Marktplaats en DPG Media. Ook een groot deel van de Nederlandse gemeenten en semioverheidsinstellingen maakt gebruik van PHP.  Daardoor kunnen de kwetsbaarheden gevolgen hebben voor een groot aantal systemen. Hoe groot het risico precies is, hangt onder meer af van de gebruikte PHP-versie en de configuratie van de betreffende server.

In de VS heeft Cyberbeveiliger Cloudflare inmiddels de eerste cyberaanvallen waargenomen die gericht zijn op de PHP-kwetsbaarheden. Dat meldt technisch directeur Dane Knecht op socialmediaplatform X. 

Beveiligingsupdate op komst

PHP heeft aangekondigd woensdag 21 oktober om 16.00 uur Nederlandse tijd een beveiligingsupdate uit te brengen. Het ontwikkelteam kan die eerder beschikbaar stellen als details over de kwetsbaarheden uitlekken of online verschijnen.

Volgens CERT-EU moeten organisaties zich voorbereiden op het direct installeren van beveiligingsupdates zodra die beschikbaar zijn. Als updaten niet mogelijk is, adviseert de dienst om internetverbonden applicaties tijdelijk uit te schakelen.