Er zijn twee kritieke kwetsbaarheden ontdekt in PHP, een veelgebruikte programmeertaal voor websites en webapplicaties. Misbruik van deze kwetsbaarheden kan ertoe leiden dat aanvallers op afstand systemen overnemen. Uit voorzorg hadden het NCSC en meerdere andere organisaties, waaronder wijzelf en diverse overheidsinstanties, hun websites preventief offline gehaald. Inmiddels zijn beveiligingsupdates (patches) beschikbaar om de kwetsbaarheden te verhelpen.
Het is van belang dat organisaties zo snel mogelijk nagaan of hun systemen kwetsbaar zijn en de beschikbare updates doorvoeren. Zolang systemen niet zijn bijgewerkt, is het nodig deze uit voorzorg offline te houden.
Patches beschikbaar
PHP heeft patches beschikbaar gesteld voor de PHP-kwetsbaarheden. Upgrade naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruikers van Linux-distributies en LTS-versies worden geadviseerd de door hun leverancier beschikbaar gestelde beveiligingsupdates toe te passen.
PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team vanwege de ernst van de kwetsbaarheden wel minimale broncodepatches beschikbaar gesteld.
Tijdelijke mitigerende maatregelen
Wanneer direct updaten niet mogelijk is, zijn tijdelijke mitigerende maatregelen beschikbaar voor beide kwetsbaarheden. Het PHP-team benadrukt dat deze maatregelen slechts specifieke aanvalspaden beperken en geen volledige oplossing vormen. Alleen het installeren van een beveiligingsupdate verhelpt de kwetsbaarheden volledig.
Beslisboom met toelichting
Het NCSC heeft een beslisboom met toelichting opgesteld over hoe jij als organisatie kan controleren welke maatregelen je kan nemen indien je gebruik maakt van PHP.
Ook heeft het NCSC een pagina ingericht op Github. Hier vind je technische informatie over de kwetsbaarheden. Deze pagina wordt doorlopend geüpdatet door het NCSC. Hier vind je ook een inventarisatie van alle PHP-gerelateerde softwareproducten om inzichtelijk te maken welke producten kwetsbaar zijn.
Link naar informatie
Meer informatie, de beslisboom en de link naar Github zijn te vinden met deze link
