Cybercriminelen bestoken PHP-servers na publicatie noodpatch

In dit artikel:

Cybercriminelen hebben massaal geprobeerd webservers aan te vallen die draaien op PHP, een veelgebruikte programmeertaal. Beveiliger Cloudflare registreerde al duizenden aanvalspogingen voordat twee ernstige kwetsbaarheden, gezamenlijk PHP2Shell genoemd, openbaar werden gemaakt. Binnen 45 minuten liep dat aantal op tot tienduizenden. Na het verschijnen van een beveiligingspatch van de PHP Foundation steeg het volume tot meerdere miljoenen pogingen, omdat aanvallers uit de patch kunnen afleiden waar de zwakke plekken zitten en proberen die te omzeilen.

De kwetsbaarheden maken het mogelijk om schadelijke code in websites te injecteren. Of aanvallers daadwerkelijk servers zijn binnengedrongen, is nog niet bekend. Op sociale media ontstond bovendien discussie over de vraag of alle beveiligingsproblemen met de patch zijn opgelost; nieuwe kwetsbaarheden worden niet uitgesloten.

Het Nationaal Cyber Security Centrum (NCSC) adviseerde organisaties hun systemen onmiddellijk te patchen. Veel instellingen haalden hun websites tijdelijk offline, waaronder NCSC.nl en overheidswebsites in Nederland, Denemarken, Finland en Frankrijk. Overheid.nl en DigiD.nl waren later weer bereikbaar. Volgens Cyril Simonnet van Sekoia.io duurt het dichten van kwetsbaarheden gemiddeld 43 dagen, terwijl aanvallers vaak al een week vóór een patch actief zijn.

Naast PHP zorgden nieuwe ernstige kwetsbaarheden in Node.js en een code-injectie in LiteLLM voor extra werk voor beveiligingsteams.