Kritieke PHP-beveiligingsupdate
Op 21 oktober heeft het PHP-project noodoplossingen uitgebracht voor twee kritieke beveiligingsproblemen. Omdat PHP een groot deel van het internet aanstuurt, inclusief veel van de websites die we bouwen en hosten, willen we uitleggen wat er is gebeurd, waarom het belangrijk is en wat we eraan hebben gedaan.
Wat is PHP?
PHP is een programmeertaal die op webservers draait. Wanneer u een website bezoekt, is PHP vaak de software die de pagina op de server bouwt voordat deze naar uw browser wordt verzonden. Het werkt op WordPress, Laravel, Drupal en ontelbare aangepaste applicaties, en het wordt gebruikt door een groot deel van alle websites wereldwijd. Omdat het zo verspreid is, heeft een fout in PHP invloed op veel servers tegelijk, wat zulke fouten aantrekkelijk maakt voor aanvallers.
Wat waren de beveiligingsproblemen?
De twee fouten worden geregistreerd als CVE-2026-109618 en CVE-2026-109619. In eenvoudige bewoording gaan beide om hoe PHP zijn werkgeheugen verwerkt terwijl het verzoeken verwerkt:
- • De eerste kan optreden wanneer een server halverwege een verzoek geen geheugen meer heeft. PHP kan dan achterblijven met onvoltooide gegevens die het later als geldig behandelt.
- • De tweede kan gegevens achterlaten van het verzoek van een bezoeker, die een later verzoek op hetzelfde serverproces opnieuw zou kunnen gebruiken.
Beide hebben een ernst van 9,2 op 10, wat als kritiek wordt beschouwd.
Wat zijn de risico's?
Het belangrijkste risico is iets wat externe code-uitvoering wordt genoemd. Een aanvaller zou de server zijn eigen opdrachten kunnen laten uitvoeren, zonder dat een aanmelding of wachtwoord nodig is. Afhankelijk van de server zou dat kunnen betekenen:
- • Gegevens op de website lezen of stelen, zoals klantgegevens of formulierverzendingen.
- • De website wijzigen of beschadigen.
- • Malware installeren, bijvoorbeeld verborgen code die bezoekers naar fraudepagina's stuurt.
- • De server gebruiken om anderen aan te vallen of spam te verzenden.
Sommige serveropstellingen waren meer blootgesteld dan andere, maar het PHP-project adviseerde iedereen om onmiddellijk bij te werken.
Waarom hebben we onze servers offline gehaald voordat de oplossing werd uitgebracht?
PHP kondigde de kritieke release een dag van tevoren aan. Wanneer een beveiligingsoplossing wordt gepubliceerd, worden de wijzigingen in PHP's broncode ook openbaar, en aanvallers kunnen de oude en nieuwe code vergelijken om precies uit te vogelen wat is opgelost en hoe ze het kunnen misbruiken. Dat werk nam vroeger voor geschoolde mensen dagen of weken. Tegenwoordig kunnen AI-tools dit aanzienlijk versnellen, dus exploits kunnen binnen uren na een release verschijnen.
Dit is de reden waarom veel hostingproviders sites in de uren voor de update offline zetten, en waarom wij hetzelfde deden. Een website die enige tijd offline is, is een veel kleiner probleem dan een gehackte website.
Wat hebben we gedaan?
- 1. We hebben onze servers omstreeks 11:00 op 21 oktober als voorzorgsmaatregel offline gehaald, zodat niets kon worden misbruikt terwijl we op de oplossing wachtten.
- 2. We hebben zodra deze beschikbaar waren, de vaste PHP-versies op alle onze servers geïnstalleerd en alle services opnieuw gestart, zodat de updates daadwerkelijk in gebruik waren.
- 3. We hebben onze servers gecontroleerd op tekenen van inbraak. We hebben inloggegevens, actieve programma's, gewijzigde bestanden, geplande taken en systeembestanden bekeken.
- 4. We hebben geheimen geroteerd, zoals toegangssleutels en wachtwoorden aan de serverkant, als extra voorzorgsmaatregel.
- 5. We hebben de websites weer online gebracht nadat de updates en controles waren voltooid, om 22:00 uur.
We hebben geen tekenen gevonden dat iemand in onze servers is ingebroken of gegevens heeft misbruikt.
Wat betekent dit voor u?
Als we uw website hosten: niets, u hoeft niets te doen. Als u uw eigen accounts of services naast uw website gebruikt, zoals een beheerdersaanmelding of een e-mailservice, is dit een goed moment om te controleren of uw wachtwoorden sterk en uniek zijn.
Als u uw website ergens anders host, vraag uw hostingprovider of zij de PHP-update hebben geïnstalleerd. Als u de server zelf beheert, werk PHP bij naar de nieuwste patchrelease van uw versie en start PHP daarna opnieuw op, omdat de oude versie blijft draaien totdat u dat doet. Versies die geen officiële updates meer ontvangen, moeten worden bijgewerkt naar een ondersteunde versie.
Dank u voor uw geduld. Als u vragen heeft over uw website of over deze update, neem dan contact met ons op.
Hulp nodig bij jouw online groei?
Liever persoonlijk advies dan zelf uitzoeken? Wij denken graag gratis en vrijblijvend met je mee.
Plan een gratis adviesgesprekContact
Gratis en vrijblijvend advies? Vertel ons wat je wilt bereiken en we nemen snel contact met je op.
- info@gieter-solutions.com
- 0636172907