Is php nu ook niet veilig meer?

[Tony D]

Zie:
https://www.ad.nl/buitenland/cloudflar ... ~ad363470/
en
https://www.bnr.nl/nieuws/tech-innovat ... -websites
Ton

[MarcoEos70D]

Vee phpBB-fora zijn offline gegaan. Lijkt me niet onverstandig.

Maar neem aan dat het beheer daar goed naar kijkt.

[Patrick]

Meerdere websites ook heb ik gemerkt. Natuurlijk is PHP niet veilig. Dat was het al niet maar wordt nu ineens overduidelijk gemaakt. Benieuwd hoe lang dit gaat duren om het op te lossen.... en hoe lang het duurt voor de volgende zaken aan het licht komen.

[Richard]

Braaf zijn dus anders gaat deze server ook plat

Kortom, beheer houdt ogen en oren open.

[Peter]

De vulnerability was al bekend sinds 21 september, hopelijk sinds die tijd al je ogen en oren open

en.., na de update, rijst de vraag: "hebben we/ze een schone server" ¿

[MarcoEos70D]

De vulnerability was al bekend sinds 21 september, hopelijk sinds die tijd al je ogen en oren open

De kwetsbaarheid zat er zelfs al 10 jaar (!) in, in 2024 werd er achter de schermen al over gesproken. Dankzij de grotere AI-inzet werd het nu kort gelden ineens publiek bekend dat die kwetsbaarheden er zaten, en werd er (eindelijk) geacteerd.

[Tony D]

Braaf zijn dus anders gaat deze server ook plat

Kortom, beheer houdt ogen en oren open.

Dank daarvoor, Richard!

Ton

[ReneG]

Veel speculatie, niet allemaal correct. Dit is hoe het is gegaan (Statement van de PHP foundation zelf, die de hand in eigen boezem steken, en daarom geloofwaardig): https://thephp.foundation/blog/2026/10/ ... -security/

Voor diegenen die het te technisch vinden:

- Ongeveer 66% van de websites gebruikt of draait op PHP (wat niet wil zeggen dat ze allemaal kwetsbaar zijn).
- Deze kwetsbaarheid is in 2024 ontdekt tijdens een security audit, de eerste audit sinds vele jaren (Dat was fout 1). Het is (of was) echter geen eenvoudige lek om te misbruiken.
- Sinds 2024 kwamen de ontwikkelaars er onderling niet uit wat de beste oplossing was. De PHP foundation opereert op basis van consensus, die was er niet. Daarom is dit blijven 'hangen'. (Fout 2).
- Deze kwetsbaarheid werd door onderzoek met AI door meerdere security partijen gelijktijdig gemeld in september. Let wel, dan is het dus nog niet publiek bekend.
- Het is goed gebruik dat security researchers dit een tijdje voor zich houden (een maand), zodat de makers een patch kunnen maken. Dat heet in vakjargon 'responsible disclosure'. Door de informatie een tijdje onder de pet te houden kan men de aankondiging van het lek tegelijk met een oplossing (patch of workaround) doen. Dan kan men zo snel mogelijk patchen, zodat hackers zo min mogelijk tijd krijgen dit soort kwetsbaarheden te misbruiken.
- Helaas werd de aankondiging, een zogenaamde CVE (of twee eigenlijk), vroegtijdig gelekt (= Fout/probleem 3)
- Het NCSC adviseerde websites met deze kwetsbaarheid offline te halen.

Het resultaat zagen we. Het was duidelijk dat het ernstig was, maar omdat de oplossing nog niet gepubliceerd was en geen details bekend waren, hebben veel bedrijven uit voorzorg websites uitgeschakeld. Wat mij betreft de enige juiste keuze. En de oorzaak (zoals altijd) was een opstapeling van fouten en foute beslissingen. Zoiets komt zelden door één factor tot stand.

Tegelijkertijd had het waarschijnlijk niet zo dramatisch uitgepakt als dit niet voortijdig was gelekt. Er komen bijna dagelijks soortgelijke of nog ernstigere lekken uit. Ik bagatelliseer deze kwetsbaarheid overigens niet, het is ernstig. Maar het vroegtijdig lekken is wat feitelijk deze drastische stappen noodzakelijk maakten. Anders was dit waarschijnlijk met spoed gepatcht en had alles gewoon doorgedraaid, en was het nieuws niet verder gegaan dan de security en IT community, zoals vaak het geval is.

Gaat dit in te toekomst vaker gebeuren? Ja waarschijnlijk wel. AI maakt het veel makkelijker en sneller om kwetsbaarheden te vinden, en het maakt het ook eenvoudiger om lastig te exploiteren kwetsbaarheden te misbruiken. Maar dat websites werden uitgeschakeld is vooral ontstaan omdat men deze kwetsbaarheid heeft gelekt voor de 'responsible disclosure' termijn is verstreken.