Tech-expert Ben van der Burg waarschuwt voor gevolgen PHP-lek: 'De schade komt vaak pas later'

Een groot beveiligingslek in PHP, de programmeertaal waarop veel websites draaien, zorgt voor onrust onder beveiligingsexperts. Hoewel er inmiddels updates beschikbaar zijn om kwetsbaarheden te dichten, is nog niet overal duidelijk of systemen voldoende zijn beveiligd. Tech-expert Ben van der Burg waarschuwt dat de gevolgen van aanvallen mogelijk pas later zichtbaar worden. "Dat gaat ongetwijfeld komen."

Afgelopen woensdag gingen veel websites waaronder die van DigiD, MijnOverheid, de Tweede Kamer, RTL Nieuws en de ANWB uit voorzorg op zwart, vanwege ernstige beveiligingslekken in PHP, waardoor hackers mogelijk toegang konden krijgen tot servers.

"Die hackers kunnen een website of een server overnemen", licht Van der Burg toe in Goedemorgen Nederland. "Ze hebben data, dat is dan de schade. Ze doen nu aanvallen, de eerste berichten zijn dat ze ook al binnen zijn, maar de schade komt vaak pas later. Dus: wat gaan ze ermee doen?"

Derde kwetsbaarheid

Beveiligingsexperts zouden inmiddels ook een derde beveiligingslek hebben aangetroffen. Volgens Van der Burg lijkt dat minder ernstig dan de eerdere kwetsbaarheden. "Dus niet een hele makkelijke. Die is dan makkelijk te dichten."

De situatie laat volgens hem zien hoe ingewikkeld het is om te bepalen welke beveiligingsproblemen direct moeten worden opgelost. "We moeten beseffen: alle software die er is, is altijd kwetsbaar. Het is altijd de vraag: moeten we een patch doen zodat die kwetsbaarheid weg is? Of kunnen we zeggen: hij is heel makkelijk op te lossen of heel moeilijk, dat is altijd de vraag."

De twee kritieke kwetsbaarheden in PHP werden op 21 oktober bekendgemaakt. Ze kunnen aanvallers onder bepaalde omstandigheden in staat stellen op afstand code uit te voeren op kwetsbare servers, zonder dat ze daarvoor eerst hoeven in te loggen. Het PHP-project bracht beveiligingsupdates uit om de problemen te verhelpen. Organisaties moeten die updates installeren en controleren of hun systemen daadwerkelijk beschermd zijn.

Hackers hebben voorsprong

Volgens Van der Burg hebben aanvallers een structureel voordeel. Kunstmatige intelligentie maakt het mogelijk om kwetsbaarheden op veel grotere schaal en met hogere snelheid op te sporen. Beveiligingsteams moeten vervolgens uitzoeken welke systemen kwetsbaar zijn en hoe ze die kunnen beschermen.

"Op dit moment kunnen de aanvallers door AI met machinesnelheid kwetsbaarheden vinden. De verdediger gebruikt heel vaak nog mensen. Het is heel lastig om ook met machinesnelheid te verdedigen. Dat is omdat je toch moet zoeken: waar zitten ze precies?"

Juist bij software die wereldwijd op grote schaal wordt gebruikt, kan dat een probleem opleveren. PHP vormt de technische basis van een groot deel van het internet, waaronder veel websites die gebruikmaken van systemen als WordPress. Daardoor kan een kwetsbaarheid verstrekkende gevolgen hebben als beheerders niet tijdig ingrijpen.

Kwetsbaarheid uitgelekt

Van der Burg schetst hoe organisaties bij beveiligingsproblemen vaak moeten afwegen of een kwetsbaarheid ernstig genoeg is om direct actie te ondernemen. Niet ieder lek wordt meteen als een onaanvaardbaar risico beschouwd. Maar als informatie over een kwetsbaarheid uitlekt, kan de situatie snel veranderen.

"Software is altijd kwetsbaar. Dan zijn er mensen onderling die zeggen: moeten we daar iets mee of niet? Is het belangrijk genoeg, moeten we dat oplossen? Is het een acceptabel risico? Dan besloten ze, het hoeft nog niet, het is acceptabel."

In dit geval veranderde dat toen de kwetsbaarheid met behulp van AI verder kon worden onderzocht en informatie over de oplossing uitlekte. Daardoor konden ook kwaadwillenden hun aanvallen voorbereiden. "Toen heeft iemand het gelekt op sociale media en moesten ze als de bliksem die update doen."