De PHP-beveiligingsreleases van 21 oktober blijven de enige oplossing voor PHP2Shell, een tweetal kwetsbaarheden waarmee een niet-authenticeerde aanvaller controle kan nemen over een kwetsbare server. De patches beschermen een server pas nadat de eigenaar ze heeft geïnstalleerd en PHP opnieuw is gestart.

Cloudflare-ceo Matthew Prince zei dat het aantal exploitpogingen binnen het netwerk van het bedrijf opliep van duizenden tot miljoenen. Het Duitse federale cyberbeveiligingsagentschap BSI en de Japanse regering zeiden geen bevestigde succesvolle inbraken te hebben vastgesteld. De PHP Foundation, die het werk aan PHP zelf financiert, zei al in 2024 eerste tekenen van een van de kwetsbaarheden te hebben geïdentificeerd en noemde de vertraging bij het oplossen ervan "een structureel falen."

Deze ontwikkelingen volgden een dag nadat de twee PHP-kwetsbaarheden regeringen en organisaties ertoe hadden aangezet websites offline te halen. De directe vraag voor internetgebruikers is of het veilig is om normaal te browsen. Het korte antwoord is dat het internet zelf niet brak en dat de meeste gebruikers het risico lopen via de websites die ze bezoeken, niet via hun eigen telefoons of computers. Veel servers moeten echter nog worden gepatcht.

PHP, een open-source servertaal, wordt achter de schermen gebruikt door ongeveer 70% van de websites waarvan de servertaal bekend is. Dankzij dat bereik wordt een kwetsbaarheid in PHP zelf een patchgebeurtenis van webbrede omvang in plaats van het probleem van één bedrijf. De twee kwetsbaarheden, samen PHP2Shell genoemd, kunnen een vreemde in staat stellen controle over een kwets server te nemen zonder in te loggen.

Is PHP2Shell verholpen?

PHP bracht op 21 oktober de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit, volgens de release notes. In de release staat: "There are no complete mitigations, updating is the only safe choice." Per 22 oktober had PHP geen vervolgpatch uitgegeven.

De beschikbaarheid van een patch betekent niet dat elke getroffen website is beschermd. PHP update zichzelf niet, dus hostingbedrijven, IT-afdelingen en individuele website-eigenaren moeten de betreffende release op hun eigen servers installeren en de software herstarten om de wijziging te activeren. In de praktijk verspreidt bescherming zich in het tempo van serveronderhoud in plaats van op het moment van release, dus hoeveel servers kwetsbaar blijven wordt bepaald door hoe snel beheerders die uitrol afronden.

PHP 8.1 en eerder ontvangen geen officiële releases meer, waardoor oudere servers een bijzonder zwak punt vormen. Het beveiligingsteam van PHP publiceerde wel eenvoudige patches voor de versies 7.4, 8.0 en 8.1 voor gebruikers die de software zelf compileren.

Zijn servers gecompromitteerd?

Aanvallers begonnen snel te zoeken naar kwetsbare systemen. Prince zei dat Cloudflare duizenden exploitpogingen zag in de 10 uur vóór de openbare aankondiging, tienduizenden in de 45 minuten erna, honderdduizenden binnen twee uur en daarna miljoenen.

https://x.com/eastdakota/status/2113079352682570051?ref_src=twsrc%5Etfw

Amazon zei dat zijn loket-servers op 17 oktober een poging registreerden, vier dagen voordat de kwetsbaarheden openbaar werden gemaakt. Amazon-CISO CJ Moses schreef dat "it remains unclear how the actor acquired exploit information prior to disclosure" en zei dat PHP2Shell "now being broadly exploited in the wild" is.

In een securityblogpost zei Amazon dat de activiteit vóór de openbare bekendmaking was waargenomen.

Regeringen hadden op dat moment echter geen bevestigde succesvolle indringingen gemeld. Thomas Caspers, vicevoorzitter van het Duitse federale cyberbeveiligingsagentschap BSI, zei dat het agentschap aanvallen had waargenomen maar geen succesvolle misbruik van de kwetsbaarheden. Hij voegde toe: "It seems a little bit more complicated than expected to exploit." Ook de Japanse chief kabinetssecretaris Minoru Kihara zei dat geen aanvallen die de kwetsbaarheden misbruiken waren bevestigd.

Een exploitpoging en een succesvolle inbraak zijn verschillende gebeurtenissen. Miljoenen pogingen kunnen plaatsvinden terwijl er nog geen bevestigde inbraak is geïdentificeerd, en succesvolle indring worden vaak achteraf ontdekt in plaats van in realtime. Voor lezers die het verhaal volgen betekent dit dat updates over bevestigde inbraken, indien aanwezig, via later onderzoek en officiële bekendmakingen zullen komen in plaats van via realtime aankondigingen.

Waarom werd het probleem niet eerder opgelost?

De PHP Foundation zei dat haar beveiligingswerk in 2024 "found the first signs of the OOM problem behind CVE-2026-109618", verwijzend naar de out-of-memory-bug die centraal staat in een van de twee kwetsbaarheden.

Volgens het verslag van de foundation over de beveiligingsrelease ontwikkelde het team "several competing approaches" maar "struggled to choose between these and feared the repercussions of shipping the wrong choice." De foundation zei dat haar financiering het mogelijk maakte dat meerdere mensen voltijds aan het probleem werkten.

"We won't pretend otherwise: the delay was a structural failure, caused by both the security team's decision process and its lack of resources," schreef de foundation. Het beveiligingsteam vereiste eerder consensus, maar zal nu bij meerderheid van stemmen beslissen, aldus de foundation.

De foundation voegde eraan toe dat het beveiligingswerk aan de software die een groot deel van het web draait "still depends on a small group of foundation-funded developers and a little volunteer help."

Waarom gingen sommige websites offline?

Patchen kost tijd, en organisaties die de fix niet onmiddellijk konden toepassen kregen het advies systemen offline te halen. Het Britse National Cyber Security Centre vertelde organisaties in haar richtlijnen te overwegen "taking the system offline until it can be fully mitigated."

Volgens TechRadar vielen op 21 oktober onder meer Wikimedia-diensten, Orange-websites en -apps in tientallen landen, 32 Britse overheidsdiensten, Nederlandse ziekenhuizen en de Duitse federale IT-dienstverlener ITZBund uit.

De Britse Office for Budget Responsibility en de website van de gemeente Edinburgh waren op 22 oktober weer online. Andere diensten, waaronder de Nederlandse anonieme misdaadmeldsite Meld Misdaad Anoniem, bleven donderdagochtend offline, volgens DutchNews.

Moeten gebruikers hun wachtwoorden wijzigen?

Niet uitsluitend vanwege PHP2Shell, althans op basis van de beschikbare informatie. Er was geen bevestigde datalek gekoppeld aan de kwetsbaarheden, en het wijzigen van elk wachtwoord zou een website niet beschermen waarvan de server ongepatcht bleef.

Standaard beveiligingsmaatregelen blijven nuttig: gebruik een uniek wachtwoord per account, zet tweefactorauthenticatie aan en let op meldingen van bedrijven over mogelijke datalekken in de komende weken. Als een bedrijf een lek bevestigt, moeten gebruikers het betreffende wacht en elk hergebruikt wachtwoord wijzigen.

Website-eigenaren hebben extra werk, want het aanbrengen van een patch sluit de kwetsbaarheid maar toont niet of een aanvaller er eerder toegang toe had. Beveiligingsbedrijf Tag1 adviseert eigenaren te zoeken naar PHP-bestanden die ze niet zelf hebben geüpload, nieuwe geplande taken en nieuw aangemaakte accounts. Het raadt ook aan databasewachtwoorden en API-sleutels te roteren op elke via internet bereikbare server die een kwetsbare versie draaide. De richtlijnen van Tag1 zijn hier beschikbaar.

Wat betekent PHP2Shell voor cryptogebruikers?

Binance-oprichter Changpeng Zhao waarschuwde gebruikers op X: "Call me paranoid, but be extra careful visiting ANY web site in the next few days."

https://x.com/cz_binance/status/2113029289155178716

Een gecompromitteerde webserver kan een nepversie van een legitieme website tonen. In de cryptosector kan zo'n pagina een gebruiker vragen een wallet te verbinden en een transactie goed te keuren die leeghaalt. Een blockchainnetwerk zelf kan onaangetast blijven terwijl de websites die er toegang toe geven zijn gecompromitteerd.

Gebruikers moeten zorgvuldig controleren wat ze ondertekenen, websites boekmerken in plaats van links te volgen en een hardware wallet gebruiken als ze die hebben. Per 22 oktober had geen enkele crypto-exchange publiek een lek gemeld dat aan PHP2Shell was gekoppeld.

Is het veilig om te browsen?

Browsen op het web was in grote lijnen net zo veilig als de week ervoor, al is geen enkele internetactiviteit zonder risico. De belangrijkste blootstelling lag bij servers die nog niet waren gepatcht. Beveiligingsbedrijf Mallory telde ongeveer 884.000 via internet bereikbare hosts die PHP-versies draaiden die geen officiële fix meer ontvangen.

Amazon drong er bij verdedigers op aan niet aan te nemen dat de datum van openbare bekendmaking de vroegste datum van exploitatie was. "Defenders should not assume the public disclosure date is the earliest date of exploitation," zei het bedrijf. Elke server die sinds minstens 17 oktober een kwetsbare PHP-versie draaide, moet worden onderzocht, niet alleen gepatchtn
Originele bron: Decrypt