Kritieke lekken in PHP. Bedrijven moeten nu in actie komen.

Het PHP-project brengt vandaag om 16 uur een dringende beveiligingsupdate uit voor twee kritieke kwetsbaarheden. Beide lekken krijgen een ernstscore van 9,2 op 10. Omdat de details al uitlekten voor de update klaar was, is snel handelen de boodschap.

Waarom is dit belangrijk?

PHP is de programmeertaal achter een groot deel van het web: websites, online diensten, API’s en bedrijfskritische toepassingen. Het probleem zit in PHP zelf. Wie alleen WordPress, een ander CMS of plug-ins bijwerkt, is dus niet beschermd.

Wat kan een aanvaller doen?

Volgens securitybedrijven kan een aanvaller via de lekken op afstand code uitvoeren op een server, mogelijk zonder in te loggen. Zo kan iemand een website aanpassen, gegevens inkijken of een achterdeur installeren. Misbruik in echte aanvallen is nog niet bevestigd, maar experts verwachten snel aanvallen zodra de technische details publiek zijn.

Welke PHP versies?

PHP maakt de getroffen versies bekend met de update. Enkel PHP 8.2 en nieuwer krijgen een officiële oplossing. Wie nog op 8.1 of ouder draait, moet overstappen naar een ondersteunde versie.

Wat moet je nu doen?

Breng in kaart welke systemen PHP gebruiken en wie ze beheert. Beperk de toegang tot PHP-toepassingen die via het internet bereikbaar zijn tot de update geïnstalleerd is, zoals ook CERT-EU aanraadt. Een firewall helpt, maar vervangt de update niet. Werk je met een hostingprovider of IT-leverancier? Vraag dan wanneer zij de update uitrollen en controleer achteraf of de nieuwe versie effectief draait.