Internetgebruikers blijven kwetsbaar voor cyberaanvallen die misbruik maken van PHP-kwetsbaarheden, met name via kleinere websites die weken nodig kunnen hebben om de upgrade van afgelopen woensdag te installeren, aldus Mitchell Amador, ceo van bug bounty-platform Immunefi.

"Dit is de vulnerability apocalypse" die op schema verloopt, waarbij het vinden van kwetsbaarheden goedkoop is geworden, maar het herstellen ervan duur blijft, vertelde Amador aan Cointelegraph.

"Behandel de komende weken elke site waarop je inlogt alsof deze al gecompromitteerd zou kunnen zijn", zei Amador. Hij waarschuwde gebruikers geen wachtwoorden te hergebruiken en voorzichtig te zijn bij het verbinden van crypto wallets aan websites. Hij riep gebruikers ook op om onbekende token-goedkeuringen in te trekken — doorlopende machtigingen waarmee externe contracten gelden kunnen opnemen uit een verbonden wallet totdat ze expliciet worden ingetrokken.

Amadors opmerkingen volgden bijna een week nadat de PHP Foundation toegaf dat het herstel van een kritiek beveiligingslek dat al in 2024 was geïdentificeerd, was uitgesteld wegens een tekort aan middelen. PHP-ontwikkelaars brachten op dezelfde dag noodpatches uit voor twee kritieke kwetsbaarheden, maar individuele websites moeten de updates nog steeds zelfstandig installeren. Omdat PHP op de eigen server van elke site draait, bieden de patches geen bescherming totdat de beheerder ze toepast.

In een interview met Cointelegraph dat in juni werd gepubliceerd, zei Amador dat de verspreiding van grensverleggende AI-modellen het cyberbeveiligingslandschap had doen kantelen in het voordeel van aanvallers. Hij koppelde die verandering aan een "vulnerability apocalypse" en een opleving van hacks op gedecentraliseerde financiering (DeFi).

Percentage van programma's met een bevestigde kritieke kwetsbaarheid naar tijd online. Bron: Immunefi.

Immunefi omschrijft zichzelf als het grootste bug bounty-platform ter wereld. Volgens de homepage heeft het bedrijf tot op heden $140 miljoen aan bounties uitbetaald over 650 protocollen.

PHP-lek trok binnen enkele uren miljoenen pogingen tot misbruik

Cloudflare-ceo Matthew Prince zei dat het netwerk miljoenen pogingen tot misbruik registreerde in de 24 uur nadat de PHP-kwetsbaarheden openbaar waren gemaakt, evenals duizenden pogingen vóór de openbaarmaking. Hij deed deze bewering in een bericht op X donderdag.

Ongeveer één op de vijf websites wereldwijd routeert verkeer via Cloudflare, aldus het internetinfrastructuurbedrijf, dat helpt websites sneller te laden en gebruikers te beschermen tegen cyberdreigingen.

Onderzoeksdienst W3Techs schat dat PHP ongeveer 69% van de websites met een bekende serverzijdige programmeertaal aandrijft. De kwetsbaarheden zouden aanvallers in staat kunnen stellen malware te verspreiden of kwaadaardige scripts te injecteren in websites over de hele wereld.

De Cyberdivisie van de FBI waarschuwde eveneens dat de kwetsbaarheden kwaadwillenden in staat zouden kunnen stellen "op afstand code uit te voeren in de PHP-kern, waardoor gevoelige gegevens en netwerken mogelijk worden gecompromitteerd", volgens een bericht op X woensdag. Externe code-uitvoering wordt beschouwd als een van de ernstigste categorieën webkwetsbaarheden, omdat een geslaagde aanval een aanvaller directe controle over de getroffen server kan geven.