"Een van zwaarste online beveiligingsproblemen die bestaan": waarom beveiligingslek bij PHP zoveel onrust zaait

Artikel luisteren

5min

Meer info

Een van de zwaarste online beveiligingsproblemen die bestaan: zo omschrijft computerwetenschapper Jeroen Baert het beveiligingslek bij de programmeertaal PHP waardoor heel wat websites uit voorzorg offline zijn gehaald. Hoewel de ontwikkelaars intussen een oplossing hebben vrijgegeven, breken enkele cruciale uren aan waarin hackers het lek nog proberen uit te buiten.

PHP: gisteren zei die afkorting veel mensen wellicht weinig, maar vandaag staan de media er vol van. De organisatie achter PHP kondigde namelijk aan dat sprake is van een beveiligingslek, waardoor de kans op een wereldwijde cyberaanval groot is. Daarom zijn heel wat belangrijke websites uit voorzorg offline gehaald. 

Wat is PHP nu precies? "PHP is een populaire programmeertaal, net zoals Python of Java. Daarmee schrijf je in mensentaal opdrachten die een computer kan uitvoeren", vertelt computerwetenschapper Jeroen Baert in VRT NWS De Wereld Vandaag. De programmeertaal wordt door meer dan 70 procent van alle websites wereldwijd gebruikt.

Door dit lek kan iemand met slechte bedoelingen toegang krijgen tot het onderliggende systeem van een website. Dat is een van de zwaarste beveiligingsproblemen die er bestaan

Jeroen Baert, computerwetenschapper

"Je kan programmeertaal PHP gebruiken om een volledige website te schrijven, maar die zal sowieso nog altijd draaien op software van PHP zelf. Net daarin zit het probleem", gaat hij verder. "Als in die sotfware een kwetsbaarheid zit, is je website, of eender wat je gemaakt hebt met PHP, kwetsbaar."

"Dat gaat om kwetsbaarheden met een zeer hoog risico. Ze kunnen iemand met slechte bedoelingen de mogelijkheid geven om via een website die PHP gebruikt toegang te krijgen tot het onderliggende systeem van die website. Dat is een van de zwaarste beveiligingsproblemen die bestaan." Op die manier kunnen hackers bijvoorbeeld gebruikersdata stelen.

"Nu de oplossing voor die kwetsbaarheid gepubliceerd is, weten ook kwaadwillenden op het internet wat er precies aan de hand is", vertelt Jeroen Baert.

De ontwikkelaars van PHP hebben nu een beveiligingsupdate vrijgegeven om de kritieke kwetsbaarheden te verhelpen. Net daarom gaan nu enkele cruciale en spannende uren van start, aldus Baert.

"We zitten op een soort kantelmoment. Nu de oplossing voor die kwetsbaarheid gepubliceerd is, weten ook kwaadwillenden op het internet wat precies aan de hand is. Ze kunnen die fout dus gaan misbruiken."

Daarom vindt Baert het een verstandige voorzorgsmaatregel dat veel websites tijdelijk offline worden gehaald. "Je weet natuurlijk niet hoe hackers die kwetsbaarheid de komende uren zullen proberen uit te buiten", legt hij uit. "Als iemand toegang krijgt tot je systemen en data, heb je een veel groter probleem dan wanneer je je website een paar uur offline haalt."  

Die oplossing van PHP is natuurlijk wel getest, maar haast en spoed is zelden goed, zeker bij dit soort kritieke systemen

Jeroen Baert, computerwetenschapper

"Als de update van PHP nu niet zou werken, zitten we met een probleem. Die oplossing is natuurlijk wel getest en men verwacht wel dat die dit beveiligingslek zal dichten, maar haast en spoed is zelden goed, zeker bij dit soort kritieke systemen."

Daarom vindt Baert het belangrijk om eerst even te evalueren of de 'pleister' die PHP gemaakt heeft wel doet wat ze moet doen. "We moeten dat de komende uren rustig bekijken, en dan beslissen welke website we wanneer weer online plaatsen."

Toch heeft niet iedereen daarbij dezelfde speelruimte. "Niemand zal erom malen als mijn persoonlijke website enkele uren offline is, maar er zijn ook kritieke websites, zoals die van ziekenhuizen of overheidsdiensten."

"Tegelijk mag je zo'n website niet te snel weer online brengen, met het risico dat die gehackt worden. Dat is een moeilijke afweging die IT-teams overal ter wereld vandaag zullen moeten maken."

Dat zo'n groot beveiligingslek niet eerder werd ontdekt, verbaast Baert niet. "Software zoals die van PHP is enorm complex. Dat gaat misschien wel om honderduizenden lijnen code. Vaak worden die kwetsbaarheden zelfs per toeval ontdekt."

Volgens hem zijn dit soort beveiligingsproblemen dan ook van alle tijden. "Een lek met deze impact hebben we al een tijd niet meer gezien, maar je mag er zeker van zijn dat elk stuk software dat we gebruiken, van Microsoft tot Linux, dit soort kwetsbaarheden bevat", gaat hij verder. "Pas wanneer zo'n kwetsbaarheid ontdekt wordt, moet men in gang schieten om dat op te lossen."

Volgens Baert is dit dan ook een wakeupcall over hoe kwetsbaar we nog altijd zijn online. "Het hele internet is gebouwd op duizend bewegende kleine radertjes. En ja, die zijn kwetsbaar."

"Daarom is het zo belangrijk om beveiligingsupdates voor software zo snel mogelijk te installeren, zeker bij systemen die rechtstreeks met het internet verbonden zijn en dus ook van buitenaf bereikt kunnen worden. Hoe langer je wacht, hoe kwetsbaarder je bent."