TOKYO/PEKING/AMSTERDAM — Wereldwijd haasten bedrijven en overheden zich er donderdag mee om kritieke kwetsbaarheden in PHP te patchen, de tientallen jaren oude programmeertaal die aan de basis staat van een groot deel van het internet, nu cloudaanbieders een toename van hackaanvallen meldden na de openbare bekendmaking van de kwetsbaarheden.

De noodrespons begon nadat overheden in Europa en elders woensdag preventief websites offline hadden gehaald, terwijl websitebeheersers haastig systemen die de veelgebruikte software draaien probeerden te beveiligen.

De stilleggingen van bank-, luchtvaart-, spoor-, belasting- en overheidsdiensten van Tokio tot Helsinki markeerden een van de meest ingrijpende tests van de tools die het internet draaiende houden, en lieten zien hoe diep overheden en bedrijven afhankelijk zijn van code die maar weinig mensen volledig begrijpen.

"Ik heb zo iets in heel, heel lange tijd niet meegemaakt", zei Microsoft-ceo Satya Nadella donderdag tijdens een evenement in Duitsland, waarbij hij eraan toevoegde dat het incident het belang onderstreept van het bouwen van software die veilig onderhouden kan worden naarmate systemen complexer worden. "Het was een lange dag en een lange nacht, ik weet het, voor alle IT- en securitymensen."

PHP: sleutel tot de fundamenten van het internet

De ontwikkelaars van PHP — een computertaal vergelijkbaar met HTML en Python — brachten woensdag fixes uit voor kwetsbaarheden die jarenlang in de software verborgen hadden gezeten totdat ze met behulp van kunstmatige intelligentie werden ontdekt. Ze riepen gebruikers op om "onmiddellijk te updaten". De taal wordt op webservers gebruikt om dynamische pagina's en applicaties te genereren, dus een fout in de kerncode kan mogelijk elke site of dienst treffen die ermee is gebouwd.

Madeline Lawrence, medeoprichter van het Belgische cybersecuritybedrijf Aikido Security, zei dat details van de kwetsbaarheden openbaar waren geworden voordat de fixes gereed waren, en dat er sindsdien aanvallen zijn gemeld.

"Bedrijven racen om te updaten tegen aanvallers die AI kunnen gebruiken om ze te misbruiken. Dat is de hele race", aldus Lawrence.

Terwijl organisaties patches uitrolden en preventief websites offline haalden, liepen hackpogingen op tot in miljoenen, volgens cloudbedrijven Cloudflare en Amazon.

"In de 10 uur voordat het openbaar werd gemaakt, zagen we op het hele netwerk duizenden pogingen om het te misbruiken", zei Cloudflare-ceo Matthew Prince woensdagavond in een bericht op X. "Dat schoot omhoog naar tienduizenden in de 45 minuten na de aankondiging, honderdduizenden binnen 2 uur, en nu miljoenen."

Amazon meldde eveneens wijdverbreid misbruik. De escalatie die Prince beschreef, illustreert het venster dat Lawrence aanstipte: tussen de openbare bekendmaking en het voltooien van het patchen blijven systemen die nog kwetsbare code draaien kwetsbaar.

Impact van Japan tot Finland

Japanse bedrijven, waaronder effectenmakelaar Nomura, geldverstrekker Mitsubishi UFJ Financial Group, luchtvaartmaatschappij ANA en East Japan Railway, lieten donderdag weten dat zij als onderdeel van noodmaatregelen tijdelijk een deel van hun internetdiensten opschorten.

Brouwer Asahi Group Holdings schortte tijdelijk bepaalde websites en systemen op terwijl een beveiligingsimpactbeoordeling werd uitgevoerd, en verzekeraar Tokio Marine Holdings meldde de website van de groep te hebben opgeschort.

Het Japanse ministerie van Financiën en het Meteorologisch Agentschap schortten onlinediensten gedeeltelijk op om veiligheidsmaatregelen door te voeren, terwijl het Nationale Belastingagentschap zijn dienst tijdelijk offline haalde.

De preventieve stilleggingen weerspiegelen de groeiende zorgen in Japan over cybersecurity. Het land registreerde in de eerste negen maanden van dit jaar meer cyberincidenten dan in heel vorig jaar, volgens gegevens van TrendAI.

Elders liet het Franse telecomconcern Orange weten preventief de toegang tot bepaalde op PHP gebaseerde websites en applicaties bij verschillende dochterondernemingen te hebben opgeschort. Tencent Cloud, een van de grootste cloudcomputingaanbieders van China, riep klanten op bijgewerkte PHP-versies te installeren, maar ging niet zover om grootschalige website-stilleggingen aan te bevelen.

De Finse overheids-IT-dienstverlener Valtori meldde dat het de hele nacht was doorgegaan met het installeren van PHP-beveiligingspatches en preventieve serviceblokkades geleidelijk aan het opheffen was, na een dag eerder de openbare overheidswebsites te hebben uitgeschakeld.

"Het herstellen van diensten kan dagen of zelfs weken duren, want naast updates moeten de systemen zorgvuldig worden getest", aldus Valtori-directeur-generaal Hannu Naumanen in een verklaring.

Valtori meldde dat de uitval niet werd veroorzaakt door misbruik van de kwetsbaarheden of een cyberinbreuk, en dat het niet op de hoogte was van actief misbruik van de fouten.

Sommige fixes kunnen weken duren

Verschillende Aziatische regeringen bevalen donderdag cybersecurityinspecties met betrekking tot de PHP-kwetsbaarheden. Het Chinese industrieministerie riep organisaties en gebruikers op hun systemen te controleren en te upgraden naar de nieuwste veilige vers van PHP, en beval aan cybersecuritymonitoring te versterken en waar nodig accounts, wachtwoorden en sleutels te wijzigen.

Zuid-Korea verhoogde het cybersecurity-alarmniveau voor de private sector en activeerde noodmaatregelen, met verwijzing naar zorgen over een verhoogd risico op hackaanvallen.

In Duitsland zei Felix Kuhlenkamp, hoofd beveiliging van de branchevereniging voor de digitale industrie Bitkom, dat veel grotere beheerders al updates hadden doorgevoerd, maar dat complexe IT-systemen en kleinere organisaties er langer over konden doen.

"Ze draaien misschien een website met PHP, maar letten er niet echt nauwgezet op", aldus Kuhlenkamp. "Als een website gebaseerd is op een oude versie van PHP waarvoor geen beveiligingsupdate bestaat, moet het hele systeem worden bijgewerkt."

Vanaf nu zullen de duidelijkste signalen van hoe dit verhaal afloopt zijn of pogingen tot misbruik aanhouden op de volumes die cloudaanbieders melden, en hoe snel opgeschorte diensten terugkeren nu updates en tests worden afgerond.

— Reuters

Bron: BusinessWorld