PHP-beveiligingslekken bedreigen persoonsgegevens en websites: dit zijn de risico’s
NieuwsBORNE – Twee ernstige beveiligingslekken in PHP hebben geleid tot grote zorgen over de veiligheid van websites. Door de kwetsbaarheden kunnen hackers mogelijk op afstand toegang krijgen tot servers. Verschillende organisaties, waaronder DigiD en MijnOverheid, haalden hun websites uit voorzorg offline. De problemen laten zien welke gevolgen een beveiligingslek in veelgebruikte software kan hebben.
Veelgebruikte PHP-techniek brengt beveiligingsrisico’s met zich mee
PHP wordt gebruikt om websites en online diensten te laten functioneren. De programmeertaal maakt bijvoorbeeld mogelijk dat bezoekers inloggen, gegevens opvragen of een bestelling plaatsen.
De populariteit van PHP heeft verschillende redenen. De taal is relatief eenvoudig te leren en ontwikkelaars kunnen deze gratis gebruiken. PHP is namelijk open source, waardoor de broncode openbaar beschikbaar is.
Die brede toepassing betekent ook dat een kwetsbaarheid in PHP gevolgen kan hebben voor veel verschillende websites. Wanneer hackers een lek kunnen misbruiken, zijn niet alleen afzonderlijke organisaties mogelijk de dupe.
Persoonsgegevens en servers lopen gevaar bij een hack
De ontdekte kwetsbaarheden kunnen hackers mogelijk toegang geven tot servers waarop websites draaien. Afhankelijk van de situatie kunnen aanvallers vervolgens schade aanrichten of gegevens proberen te stelen.
Dit zijn mogelijke gevolgen van een succesvolle aanval:
Persoonlijke gegevens in gevaar: aanvallers kunnen proberen informatie van gebruikers buit te maken.
Verlies van controle over een website: hackers kunnen mogelijk onderdelen van een website overnemen.
Misbruik voor andere aanvallen: een gehackte server kan worden gebruikt om spam te versturen of andere systemen aan te vallen.
Niet iedere kwetsbare website wordt automatisch gehackt. Wel kunnen organisaties ervoor kiezen hun systemen tijdelijk onbereikbaar te maken om het risico op misbruik te beperken.
Informatie over PHP-lekken kwam eerder naar buiten dan gepland
De ontwikkelaars van PHP werkten al aan een beveiligingsupdate om de kwetsbaarheden op te lossen. De situatie veranderde toen informatie over de lekken voortijdig werd verspreid.
De geplande update zou op donderdag verschijnen, maar werd naar woensdag vervroegd. Vervolgens verscheen per ongeluk een video van een beveiligingsbedrijf waarin werd gedemonstreerd hoe de kwetsbaarheden konden worden misbruikt. De video werd verwijderd, maar verspreidde zich alsnog online.
Volgens PHP-expert Stefan Koopmanschap had de situatie mogelijk minder grote gevolgen gehad als de informatie niet voortijdig bekend was geworden.
Websites tijdelijk offline om schade te voorkomen
Verschillende organisaties besloten hun websites uit voorzorg offline te halen. Daarmee wilden zij voorkomen dat hackers de kwetsbaarheden konden misbruiken voordat de beveiliging op orde was.
De risico’s gelden niet uitsluitend voor grote organisaties. Ook kleine webwinkels, websites van verenigingen en sportclubs kunnen kwetsbaar zijn. Hackers gebruiken geautomatiseerde programma’s om servers met beveiligingsproblemen op te sporen, ongeacht hoe bekend de website is.
