Een beveiligingsprobleem in PHP: wat betekent het voor je website?

Update, 21 oktober: de oplossing is er, en de websites van onze klanten hadden geen problemen. Je hoeft zelf niets te doen.

Omdat PHP zo veel gebruikt wordt, raakte dit veel organisaties tegelijk. Hier lees je in gewone woorden wat er gebeurde, en waarom sommige websites een tijdje offline waren.

Wat is er gebeurd? De makers van PHP vonden twee ernstige kwetsbaarheden, elk met een score van 9,2 (CVSS v4.0). Een kwetsbaarheid is een zwakke plek waar iemand met slechte bedoelingen misbruik van kan maken om binnen te komen. De 9,2 is een score van 0 tot 10 voor hoe ernstig het is: alles vanaf 9 geldt als kritiek. De oplossing kwam uit op woensdag 21 oktober om 16.00 uur Nederlandse tijd.

Waarom gingen websites offline? Via deze zwakke plekken kon een aanvaller de computer overnemen waar een website op draait, en alles wat erop staat. Voor de zekerheid haalden veel organisaties hun websites offline tot de oplossing was geïnstalleerd, zoals MijnOverheid, DigiD, het RIVM en de ANWB.

Is er iemand aangevallen? Voor zover bekend niet. Het Nationaal Cyber Security Centrum (NCSC) had geen aanvallen gezien. Het raadde iedereen met websites op PHP aan om de oplossing zo snel mogelijk te installeren zodra die uitkwam.

Wat betekende dit voor jouw website? Niets. De websites van onze klanten hadden geen problemen door deze zwakke plekken, en je hoefde zelf niets te doen. We hebben het de hele tijd in de gaten gehouden.

Bronnen: de aankondiging op php.netde aankondiging op php.net en het liveblog van NU.nlliveblog van NU.nl.