PHP-lekken tonen risico van onzichtbare afhankelijkheid

Overheidswebsites, nieuwswebsites en andere online diensten zijn tijdelijk offline gehaald vanwege twee kritieke kwetsbaarheden in PHP. De ontwikkelaars van de veelgebruikte programmeertaal hebben inmiddels beveiligingsupdates uitgebracht. Toch zijn organisaties niet direct buiten gevaar. IO+ sprak met Georgios Smaragdakis, hoogleraar cybersecurity aan de TU Delft en Patrick Jordens van The Trusted Third Party over deze kwetsbaarheden en gevaren.

PHP wordt wereldwijd gebruikt voor webontwikkeling. De programmeertaal vormt onder meer de basis voor websites die draaien op WordPress, Drupal en Joomla.

“Het probleem is dat veel van deze populaire toepassingen door vrijwel iedereen worden gebruikt”, zegt Smaragdakis. “Als je maar op één technologie vertrouwt en daar gaat iets mis, dan kan alles instorten.”

Jarenlang verborgen lek

Onderzoeksteam Wiz Research ontdekte de kwetsbaarheden en beschrijft hoe AI-modellen hielpen om fouten bloot te leggen die al jarenlang in de PHP-code verborgen zaten. De kwetsbaarheden vereisten een complexe reeks stappen om daadwerkelijk uit te buiten. AI maakte het voor onderzoekers mogelijk om die technische drempel te overbruggen.

Volgens Patrick Jordens zit een deel van het probleem in de onzichtbare afhankelijkheid van PHP. Onder platforms als WordPress, Drupal, Joomla en Magento draait PHP. De programmeertaal is goedkoop, breed beschikbaar en eenvoudig om mee te bouwen. “Bijna niemand weet dat hij het gebruikt. Je koopt geen PHP, je koopt een website, een webshop of een klantportaal. En een risico dat je niet ziet, kun je niet managen.” Daardoor kan één kwetsbaarheid volgens Jordens tegelijk veel organisaties raken. 

De kwetsbaarheden zitten in de kern van PHP zelf, niet in afzonderlijke websites of applicaties die de programmeertaal gebruiken. Daardoor kunnen ook websites waarvan de eigen applicatiecode veilig is, risico lopen. De fouten kunnen aanvallers in staat stellen om op afstand code uit te voeren op een server of gevoelige gegevens uit het geheugen uit te lezen. Daarmee kunnen zij bijvoorbeeld wachtwoorden, toegangssleutels en andere vertrouwelijke gegevens buitmaken.

Miljoenen servers draaien op verouderde PHP

Volgens Smaragdakis zijn wereldwijd ongeveer vier miljoen servers geïdentificeerd die PHP gebruiken. Naar schatting draait 60 tot 70 procent daarvan op versies die niet meer worden ondersteund en waarvoor geen reguliere beveiligingsupdates beschikbaar zijn.

Verouderde software blijft vaak in gebruik door kosten, technische beperkingen en gebrek aan onderhoud. Updates kunnen problemen veroorzaken met oudere applicaties die afhankelijk zijn van een specifieke PHP-versie. “Er zijn servers die twee, drie of zelfs tien jaar niet zijn bijgewerkt”, zegt Smaragdakis. Organisaties moeten soms eerst upgraden naar een nieuwere versie voordat ze de beveiligingspatch kunnen installeren.

De PHP-ontwikkelaars brachten gistermiddag updates uit voor ondersteunde versies. Organisaties met oudere versies moeten bij hun leverancier nagaan of aanvullende beveiligingsupdates beschikbaar zijn. Maar zelfs als een patch klaarstaat, kan het volgens Smaragdakis weken duren voordat systemen zijn bijgewerkt. Vooral kleinere bedrijven hebben daarvoor niet altijd voldoende personeel of middelen.

Eerdere kwetsbaarheden, zoals Heartbleed in OpenSSL in 2014 en kwetsbaarheden in webframework Next.js, laten zien hoe lastig het is om beveiligingsupdates snel door te voeren. Volgens Smaragdakis is het ontdekken van een kwetsbaarheid slechts de eerste stap: ook het installeren van de patch kost tijd. Voor organisaties die hun systemen niet direct kunnen bijwerken, adviseert hij om publiek toegankelijke applicaties tijdelijk af te schermen of offline te halen.

Meer spreiding en betere beveiliging

Meer diversiteit in technologie kan volgens Smaragdakis voorkomen dat een kwetsbaarheid in één systeem direct grote gevolgen heeft voor een groot deel van het internet. Daarnaast moeten bedrijven beveiliging vanaf het begin meenemen in de ontwikkeling van software, in plaats van vooral te focussen op het snel opleveren van nieuwe toepassingen. “Beveiliging is belangrijker dan het ontwikkelen van nieuwe software. We moeten software maken die veilig is”, benadrukt Smaragdakis. 

Maar beveiliging begint niet alleen bij de ontwikkeling van software. Ook moeten organisaties weten van welke technologieën en leveranciers ze afhankelijk zijn. “Een groot deel van onze digitale infrastructuur draait op onderdelen die door kleine teams worden onderhouden en waar organisaties nooit bij stilstaan. Die afhankelijkheden kun je niet wegnemen. Wel kun je ze kennen”, vertelt Jordens. “PHP is vandaag het nieuws, maar volgende keer is het weer iets anders. Organisaties die weten waar ze op bouwen, zijn dan gewoon beter voorbereid.”