Mogelijke beveiligingsrisico's in PHP: dit doen wij voor uw website

Er gaan berichten rond over een mogelijk beveiligingsprobleem in PHP, de programmeertaal waarop veel websites draaien. Ook websites die wij bouwen en beheren gebruiken PHP. Het probleem is nog niet officieel bevestigd, maar we wachten niet af: we nemen nu al voorzorgsmaatregelen. In dit artikel leest u wat er speelt, wat wij doen en wat dit voor u betekent. We zullen dit artikel de komende uren bijwerken met de laatste informatie.

Updates:

[23:39]
We hebben 100% van onze websites weer online gebracht. Komende tijd zullen we voor specifieke platforms nog een aantal maatregelen nemen en zullen we aanvullende monitoring toepassen.

Bedankt voor het begrip en jullie geduld vandaag namens het hele Steets Servicedesk-team!


[22:32]
Inmiddels zijn 90% van onze websites weer online. Gebruikers die via de servicedesk contact hebben gehad zijn hierover geïnformeerd per e-mail.

De websites die nog niet online worden (PHP versies 7 en lager) worden per e-mail geïnformeerd over de genomen maatregelen.

[19:07]

• Inmiddels zijn de meeste websites weer online. Alle sites die op PHP versie 8 draaien zijn sowieso online

• Websites die nog op PHP versie 7 draaien worden momenteel geüpdatet en zullen daarna online gezet worden. Omdat we dit per site moeten doen is het lastig een exact tijdstip te melden wanneer we kunnen lanceren.

[16:04]
We hebben de eerste website online gebracht en voorzien van een patch. De komende uren zullen we het volgende doen:

• Websites die gebruik maken van PHP 8 en hoger zullen we patchen en online brengen. We houden hierbij rekening met het service niveau (SLA) om de prioritering te bepalen.

• Websites die gebruik maken van PHP versie 7 of ouder zullen we eerst updaten naar versie 8 of we moeten de beschreven mitigaties toepassen wanneer dit niet (op korte termijn) mogelijk is. Onze engineers onderzoeken de mogelijkheden hier nog van. Zodra we hier meer over weten nemen we contact op.
  

Omdat we ons nu focussen op het zo snel mogelijk online brengen van de websites kunnen we niet iedereen direct op de hoogte brengen dat dit is gedaan. Mocht de website weer online zijn en er toch nog iets niet helemaal goed functioneren stuur dan meteen een mail naar [email protected].

[15:51 uur]
De twee patches GHSA-w8hw-w9fx-j79w en GHSA-6wmf-4rv5-p3rp zijn gepubliceerd. Onze engineers controleren deze en onderzoeken of we deze kunnen uitrollen. Daarnaast bekijken we ook welke aanpassingen we kunnen doen voor websites die nog oudere PHP versies gebruiken (PHP versie 6 en 7).

[13:44 uur]
Omdat we nu nog niet precies kunnen inschatten wat de impact van de kwetsbaarheden zijn, volgen we het advies van o.a. het Nationaal Cyber Security Centrum en zullen we alle websites offline halen.
Deze maatregel is preventief maar voorkomt eventuele issues. Via deze pagina en de socials zullen we jullie op de hoogte houden.

[13:00 uur]
PHP heeft twee updates vrijgegeven, we onderzoeken of dit aansluit bij de issues die gemeld zijn. Vanmiddag om 16:00 uur wordt er sowieso een security update vrijgegeven.

[12:30 uur] CloudFlare heeft aanvullende WAF-regels vrijgegeven; wanneer we CloudFlare voor jouw omgeving gebruiken zullen we dit toepassen.

Wat is er aan de hand?

Een onderzoeker heeft een mogelijke kwetsbaarheid in PHP beschreven. Het gaat om een onderdeel dat de voortgang van bestandsuploads bijhoudt. Volgens de onderzoeker kan een aanvaller via een speciaal opgesteld verzoek mogelijk code uitvoeren op de server.

Belangrijk om te weten:

• Het PHP-project heeft de melding nog niet officieel bevestigd en er is nog geen officiële update voor uitgebracht.

• Er zijn ons geen gevallen bekend waarin dit misbruikt is bij websites die wij beheren.

Wat betekent dit voor uw website?

Draait uw website op PHP, bijvoorbeeld met Statamic, Laravel of WordPress, dan valt die in principe onder deze melding. Of er echt risico is, hangt af van de PHP-versie en de instellingen op de server. We volgen de nieuwsberichten rondom deze issue nauwlettend en passen daarop maatregelen toe.

De aanpassingen hebben geen gevolgen voor hoe uw website werkt of eruitziet.

Wat doet Steets?

1. Inventarisatie: we controleren alle websites met welke versie er draait en bereiden websites die draaien op PHP versie 7 of lager voor op de update. Mocht dit het geval zijn dan zullen we contact opnemen.

2. Voorzorgsinstelling: we zetten de PHP-functie voor uploadvoortgang uit. Dit levert mogelijk een andere ervaring op in het CMS; maar de website blijft verder operationeel. De beschreven aanvalsroute is hiermee

3. Updates: we werken PHP en het CMS (zoals Statamic en Laravel) bij naar de nieuwste veilige versies.

4. Monitoring: we volgen de officiële berichtgeving van PHP. Komt er een officiële update, dan installeren we die zo snel mogelijk. Ondertussen volgen we de berichtgeving van CloudFlare en PHP.

Moet ik mijn website offline halen?

Er worden veel websites uit voorzorg offline gehaald. Met de kennis die wij momenteel hebben is dit vooral een preventieve maatregel. De impact van de gemelde beveiligingsissues kunnen we nu nog niet precies overzien.

Cloudflare heeft wel aanvullende maatregelen genomen maar heeft ook daadwerkelijk verkeer gedetecteerd wat lijkt op aanvallen via deze exploit.

Wil jij tijdelijk je website offline halen? Mail dit dan naar [email protected].