Ernstige kwetsbaarheden in PHP: bereid je voor op patchen.
Er zijn 2 kritieke kwetsbaarheden gevonden. Er is een publieke Proof of Concept (PoC)- code beschikbaar, maar het Nationaal Cyber Security Centrum (NCSC) heeft nog geen actief misbruik gesignaleerd. Wel adviseert het NCSC nadrukkelijk om alvast voorbereidingen te treffen op een komende patch op 21 oktober 16:00 uur Nederlandse tijd. Dit tijdstip kan eventueel worden vervroegd. Verdere details worden tijdens de release van de patch bekend gemaakt.

Welke versies zijn kwetsbaar?

Alle versies vanaf versie 5 zijn in ieder geval kwetsbaar. Daarmee zijn alle producten en componenten waar PHP in zit of wat gebruik maakt van PHP in potentie kwetsbaar.

Wat voor soort product is het?

PHP is een programmeertaal waarmee websites en webapplicaties worden gebouwd. Deze programmeertaal wordt voornamelijk gebruikt voor de backend van websites, en zorgt ervoor dat een website niet alleen informatie toont, maar ook daadwerkelijk iets kan doen. Het draait op de server en verwerkt gegevens en opdrachten. Het zorgt ervoor dat men kan inloggen, voert betalingen uit en communiceert met databases. 

Hoe kan de kwetsbaarheid misbruikt worden?

Door middel van een eenvoudig POST-request kunnen de kwetswaarheden misbruikt worden. Deze request kan leiden tot een een Remote Code Executie (RCE).  
 

Website NCSC offline

Vanwege de kwetsbaarheden in PHP is uit voorzorg de website NCSC.NL tijdelijk offline gehaald. Er wordt hard gewerkt aan een oplossing om de website zo snel mogelijk weer beschikbaar te maken. Voor actuele informatie kunt u terecht op advisories.ncsc.nl.

In de tussentijd kunt u ook voor nieuws, updates of vragen terecht op de NCSC LinkedIn-pagina en de NCSC Community. Organisaties die gebruik maken van CSIRT-dienstverlening kunnen terecht op MijnNCSC.

Wat kunt u doen?

Het NCSC adviseert om nu alvast voorbereidingen te treffen zodat de patch zo snel mogelijk geinstalleerd kan worden zodra deze beschikbaar is.

PHP publiceert om 16:00 uur updates om de kwetsbaarheden te verhelpen. Deze updates zijn voor zover bekend echter uitsluitend voor PHP versie 8. Overweeg End-Of-Life versies te upgraden naar versies waar patches voor beschikbaar zijn.
Voer deze updates zodra ze beschikbaar komen direct door. Zolang dat niet gebeurt is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar.
Daarnaast zal PHP enkele mitigerende maatregelen beschikbaar stellen. Deze zijn echter niet voldoende om de kwetsbaarheden weg te nemen en kunnen bij pogingen tot misbruik leiden tot Denial of Service (DoS), waardoor de werking van het systeem wordt verstoord. 
Het NCSC adviseert totdat de kwetsbaarheden verholpen zijn, een risisocafweging te maken per systeem dat PHP gebruikt en aan het internet hangt of aanvullende maatregelen noodzakelijk is, zoals het uitschakelen van het systeem. 
Bij veel van deze producten zal de gebruiker afhankelijk zijn van de vendor om te updaten naar de nieuwste versie van PHP.

Houd hier de site van PHP Security Team in de gaten.