NOS NieuwsAangepast
Allerlei websites gaan uit voorzorg uit de lucht, van RTL Nieuws, DigiD en MijnOverheid tot de website van de Tweede Kamer. Wat is er precies aan de hand en waar komt dit grote beveiligingslek opeens vandaan?
Gisteren kwam de organisatie achter PHP, een programmeertaal waar veel websites uit zijn opgebouwd, met een aankondiging, zoals makers van software dat wel vaker doen: woensdag zou er een oplossing komen voor een probleem met PHP. Dat doen softwaremakers zodat iedereen zich kan voorbereiden op een oplossing.
In dit geval hebben hackers die aankondiging echter aangegrepen om het precieze lek te lokaliseren en informatie erover naar buiten te brengen. Met die informatie is het relatief eenvoudig om het lek te misbruiken.
PHP is een programmeertaal. Het is een van de oertalen van het wereldwijde web; de eerste versie kwam al in 1995 uit. Hoewel de populariteit is afgenomen doordat er nieuwe programmeertalen met een hipper imago verschenen, is het nog steeds een van de stille drijvende krachten achter het web.
Het softwarelek van vandaag zit in de zogenoemde interpreter, een stukje software dat de door programmeurs geschreven commando’s vertaalt naar iets wat de computer begrijpt.
Het gaat om twee weeffouten in PHP. Doordat veel websites PHP gebruiken, zijn dus ook meteen veel websites kwetsbaar. Hoe ernstig een site is getroffen, verschilt van geval tot geval.
Op zichzelf zijn het al twee relatief ernstige lekken. Alle softwarelekken krijgen een score op een schaal van 1 tot 10, een zogenoemde CVE-score. Deze twee lekken krijgen allebei een 9,2.
Wie deze weeffouten kan misbruiken, kan zichzelf naar binnen wurmen op een website en bijvoorbeeld klantdata stelen, verder inbreken in het bedrijf achter de website of nieuwe aanvallen op bezoekers openen.
Wat het ernstiger maakt, is dat er pas rond vier uur ’s middags een oplossing kwam, terwijl het lek al urenlang leek te worden misbruikt. Een permanente oplossing was er simpelweg niet totdat de makers van PHP een nieuwe versie uitbrachten; al die tijd waren sites kwetsbaar.
Wat dit lek ernstig maakt, is dat er geen echte oplossing was. Website-eigenaren konden hun best doen om verdacht verkeer te blokkeren, maar dat werkte niet volledig: er konden altijd hackpogingen doorheen komen en slagen. Omdat er geen waterdichte oplossing was, kozen veel website-eigenaren eieren voor hun geld.
Toch is offline halen niet de enige oplossing. Een andere is om alle interactieve functies uit te schakelen, zodat een bezoeker bijvoorbeeld niet meer kan inloggen, reacties kan achterlaten of bestanden kan uploaden. Voor een site als DigiD heeft dat weinig nut, maar een site met alleen informatie zou zo bijvoorbeeld online kunnen blijven. Of dat in de praktijk op korte termijn kan, is een ander verhaal.
Er zijn nog geen concrete voorbeelden van misbruik bekend, maar de kans is groot dat die nog wel zullen volgen. Er zijn dus geen aanwijzingen dat websites al getroffen zijn, laat staan dat ze vervolgens privégegevens van hun gebruikers lekken, maar het is zeker niet uitgesloten.
En de kans dat het gaat gebeuren is nog groter, want veel website-eigenaren updaten hun software veel te laat. Vooral sites van kleinere bedrijven en hobbysites draaien soms jaren oude versies. De komende tijd zijn die dus extra kwetsbaar.
Hoe groot het internet ook is, uiteindelijk is een relatief kleine verzameling programmeertalen en software de drijvende kracht erachter. Een ernstig softwarelek kan er daarom voor zorgen dat veel websites of andere computersystemen in één keer getroffen zijn, en dat gebeurt vandaag niet voor het eerst.
Ook maakt AI het steeds makkelijker om lekken in software te vinden, en kan dat steeds sneller. De ethische hackers die de lekken in eerste instantie vonden en aan de makers van PHP meldden, gebruikten ook AI. Of de kwaadwillende hackers die de code voor iedereen publiceerden, dat ook deden, is onbekend.
De zogenoemde patch van PHP staat inmiddels online, dus nu is het in principe een kwestie van updaten. Als alles goed gaat, zouden websites relatief kort daarna weer moeten werken. Al kunnen er altijd toch problemen optreden.
Zo zou het kunnen dat veel meer mensen dan normaal opeens een PHP-update willen downloaden, waardoor de servers overbelast raken. Ook kunnen software-updates altijd misgaan. De kans dat de bewuste websites later vanavond of zelfs morgen nog offline zijn, lijkt echter klein.
