Kritieke PHP-fouten blijven beheerders onder druk zetten
Beveiligingsdiensten waarschuwen organisaties om kwetsbare webservers zo snel mogelijk bij te werken.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Twee kritieke kwetsbaarheden in PHP blijven wereldwijd aandacht vragen, omdat aanvallers zonder inloggegevens code op kwetsbare servers kunnen uitvoeren. Europese en commerciële beveiligingsdiensten adviseren organisaties onmiddellijk te patchen of internetgerichte systemen tijdelijk af te schermen.
De kwetsbaarheden zitten in de PHP-runtime, de software die op veel webservers de logica van websites en webapplicaties uitvoert. Volgens de officiële PHP-aankondiging brachten de PHP-ontwikkelaars op 21 oktober reparaties uit voor de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Volgens CERT-EU kunnen de fouten leiden tot remote code execution: een aanvaller kan vanaf afstand opdrachten laten uitvoeren op een server. De ene fout heeft te maken met geheugenbeheer wanneer een proces zijn geheugengrens bereikt. De andere kan na een fout oude interne gegevens opnieuw beschikbaar maken voor een volgende aanvraag.
De Europese cyberveiligheidsdienst schrijft dat inmiddels technische informatie en proof-of-conceptcode publiek circuleren. Daardoor neemt volgens CERT-EU de kans toe dat aanvallers proberen de fouten te misbruiken. CERT-EU noemt vooral installaties met Apache en mod_php risicovol, maar ook andere manieren waarop PHP webverzoeken verwerkt kunnen worden zijn getroffen.
AWS meldde op 23 oktober dat zijn eigen diensten niet door de kwetsbaarheden zijn getroffen. Klanten die zelf kwetsbare PHP-versies gebruiken binnen hun infrastructuur moeten volgens AWS wel controleren of zij geraakt kunnen worden. Bitdefender schreef een dag eerder dat het geen actieve exploitatie had waargenomen, maar adviseerde eveneens onmiddellijk te patchen.
Voor oudere PHP-versies moeten beheerders nagaan of een officiële oplossing beschikbaar is. Daarom moeten zij controleren of hun Linuxdistributie of leverancier een teruggeporteerde beveiligingsupdate aanbiedt. Een tijdelijke beperking van functies kan de blootstelling verkleinen, maar volgens CERT-EU verhelpt alleen een bijgewerkte versie het probleem volledig.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De technische kern, getroffen versies en patchadviezen zijn door de PHP-organisatie en CERT-EU bevestigd. De tekst maakt onderscheid tussen kwetsbaarheid, mogelijke exploitatie en daadwerkelijk vastgestelde aanvallen.
- bevestigd De PHP-ontwikkelaars brachten reparaties uit voor versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. — Genoemd in de officiële PHP-aankondiging en het CERT-EU-advies. bron
- bevestigd De kwetsbaarheden kunnen leiden tot uitvoering van code zonder inloggegevens. — CERT-EU beschrijft unauthenticated remote code execution. bron
- bevestigd AWS meldde dat zijn eigen diensten niet getroffen zijn. — Staat in het AWS-beveiligingsbulletin van 23 oktober. bron
- bevestigd Bitdefender had geen exploitatie waargenomen. — Opgenomen in de technische advisory van Bitdefender. bron
Noot van de redactie
De kwetsbaarheden en patches zijn bevestigd door PHP en CERT-EU. AWS meldde dat zijn eigen diensten niet getroffen zijn; risico's gelden vooral voor organisaties die zelf kwetsbare PHP-versies draaien. Er is geen onafhankelijk bewijs gevonden dat een specifiek Nederlands bedrijf is aangevallen.Bronnen
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- Het Parool — „php cybersecurity”
- NRC — „php cybersecurity”
- Tweakers — „php cybersecurity”