NCSC: Ernstige kwetsbaarheden in PHP

Ernstige kwetsbaarheden in PHP: bereid je voor op patchen.
Er zijn 2 kritieke kwetsbaarheden gevonden. Er is een publieke Proof of Concept (PoC)- code beschikbaar, maar het Nationaal Cyber Security Centrum (NCSC) heeft nog geen actief misbruik gesignaleerd. Wel adviseert het NCSC nadrukkelijk om alvast voorbereidingen te treffen op een komende patch op 21 oktober 16:00 uur Nederlandse tijd. Dit tijdstip kan eventueel worden vervroegd. Verdere details worden tijdens de release van de patch bekend gemaakt.

Alle versies vanaf versie 5 zijn in ieder geval kwetsbaar. Daarmee zijn alle producten en componenten waar PHP in zit of wat gebruik maakt van PHP in potentie kwetsbaar.

PHP is een programmeertaal waarmee websites en webapplicaties worden gebouwd. Deze programmeertaal wordt voornamelijk gebruikt voor de backend van websites, en zorgt ervoor dat een website niet alleen informatie toont, maar ook daadwerkelijk iets kan doen. Het draait op de server en verwerkt gegevens en opdrachten. Het zorgt ervoor dat men kan inloggen, voert betalingen uit en communiceert met databases. 

Hoe kan de kwetsbaarheid misbruikt worden?

Door middel van een eenvoudig POST-request kunnen de kwetswaarheden misbruikt worden. Deze request kan leiden tot een een Remote Code Executie (RCE).  
 

Vanwege de kwetsbaarheden in PHP is uit voorzorg de website NCSC.NL tijdelijk offline gehaald. Er wordt hard gewerkt aan een oplossing om de website zo snel mogelijk weer beschikbaar te maken. Voor actuele informatie kunt u terecht op advisories.ncsc.nl.

In de tussentijd kunt u ook voor nieuws, updates of vragen terecht op de NCSC LinkedIn-pagina en de NCSC Community. Organisaties die gebruik maken van CSIRT-dienstverlening kunnen terecht op MijnNCSC.

Het NCSC adviseert om nu alvast voorbereidingen te treffen zodat de patch zo snel mogelijk geinstalleerd kan worden zodra deze beschikbaar is.