Een week na de noodpatch voor PHP2Shell zijn grote incidenten uitgebleven. Volgens Fox-IT is het nog te vroeg om te stellen dat het gevaar volledig geweken is.
Zelden haalden een softwarekwetsbaarheid zo het nieuws als PHP. Op 21 oktober bracht de PHP Foundation een noodpatch voor twee kritieke kwetsbaarheden in de programmeertaal. Ze werden al misbruikt nog voor de patch beschikbaar was. In België haalden onder meer DPG Media, de VUB en verschillende ziekenhuizen hun websites uit voorzorg offline.
Wellicht werden de kwetsbaarheid daarvoor al misbruikt. Het Nederlandse beveiligingsbedrijf Fox-IT zag al meldingen van mogelijk misbruik vanaf 17 oktober, vier dagen voor de patch er was. Frank van Oeveren, interim Director Cyber Intelligence & Response bij Fox-IT, maakt een kleine week later de balans op. Tot zover je die kan maken, want de mogelijke gevolgen van het lek zijn volgens hem nog lang niet gekend.
Inbraken nog niet zichtbaar
Dat er een week later geen grote incidenten gemeld zijn, stelt Van Oeveren niet gerust. “Het is te vroeg om dat nu al te zeggen. Je kan niet altijd goed zien of er daadwerkelijk ergens is ingebroken. Bovendien kunnen ook gepatchte systemen eerder al gehackt zijn geweest.”
“Misschien was de exploitatie te ingewikkeld”, zegt Van Oeveren. “Maar incidenten kunnen maanden tot jaren gebeuren. Veel servers zijn nog lang niet gepatcht, dat betekent dat veel systemen nog kwetsbaar zijn.” Hij verwijst naar Log4Shell, het lek in de Java-bibliotheek Log4j dat eind 2021 opdook. Ook toen werden systemen nog lang na de bekendmaking gehackt.
Volgens Van Oeveren zijn er manieren om sporen van een inbraak te vinden. “Je kan zien of er al pogingen zijn geweest om binnen te geraken. Het lastigste is dat je dat niet meteen ziet.” Organisaties met monitoring maken een goede kans om een aanvaller op te merken wanneer die zich verder door het netwerk wil bewegen of vreemde inlogpogingen doet. “Dat gebeurt pas na de initiële aanval. Dan ben je eigenlijk al gehackt.”
Zijn advies luidt om de komende periode waakzaam te blijven. “Blijf je netwerk, je applicaties en alles wat op het netwerk aangesloten is, monitoren. Dat moet je goed op orde hebben, zodat je een beeld hebt of er pogingen zijn geweest.” Amazon raadt aan om tot minstens 17 oktober terug te kijken.
Goede voorzorgmaatregelen
Wereldwijd gingen websites uit voorzorg offline. Zelfs het Centrum voor Cybersecurity België (CCB) zette zijn eigen site in onderhoudsmodus en raadde Belgische organisaties aan dat ook te doen. Een oproep waar gehoor aan werd gegeven. Van Oeveren vindt die keuze achteraf verantwoord.
“Better safe than sorry. Je kan de case maken om het niet te doen, maar het risico is het niet waard. Voor retailers lag de afweging moeilijker, omdat een offline webshop meteen omzet kost. Zelfs daar hielden ze de site liever even offline en namen ze de gemiste omzet voor lief.”
Exploitatie zie je meestal pas de initiële aanval. Dan ben je eigenlijk al gehackt.
Frank van Oeveren, interim Director Cyber Intelligence & Response Fox-IT
Rommelige bekendmaking
Over hoe de kwetsbaarheid tot bij het grote publiek kwam, is inmiddels veel gezegd en geschreven. Paniekberichten over het lek gingen massaal rond en het beveiligingsbedrijf Chainguard publiceerde gepatchte images meer dan zes uur voor de officiële release. Daar was de PHP Foundation achteraf niet mee opgezet.
“De kwetsbaarheden kwamen in het publieke domein, iedereen kon ze zien”, zegt Van Oeveren.. “Het lek werd snel weer verwijderd, maar iedereen had al screenshots gemaakt.” De ophef had volgens hem ook een goede kant. “Zonder media-aandacht geraakt zoiets wel eens ondergesneeuwd. Nu ondernam iedereen meteen actie.”
De druk zorgde er ook voor dat PHP de patch sneller moest doorvoeren dan gepland. “Eigenlijk moet dit kunnen zonder dat de media er eerst opspringen, maar het heeft iedereen wakker geschud. Onder de streep is het op deze manier goed geweest.” De risico’s van de vroege bekendmaking wogen volgens Van Oeveren daardoor minder zwaar.
Lek was langer bekend
De PHP Foundation erkende later dat de eerste signalen van één van de kwetsbaarheden al sinds 2024 bekend waren. Omdat er destijds nog geen bekende aanvalsroute was, kregen andere problemen voorrang. Dat is volgens Van Oeveren niet uitzonderlijk. “Soms is een kwetsbaarheid gekend, maar bestaat er geen logisch pad om ze te misbruiken. Dan is er een tweede kwetsbaarheid nodig om aan de eerste te geraken. AI heeft ze hier aan elkaar gehangen.”
Hoe ernstig én urgent een kwetsbaarheid is, is iedere keer een afweging die gemaakt moet worden. “Bij het inschatten van de ernst kijk je eerst naar de CVSS-score”, legt Van Oeveren uit. “Die zegt welke toegang een lek oplevert, bij PHP2Shell volledige beheerderstoegang. Daarnaast telt of er een proof of concept bestaat en of het lek in het wild misbruikt wordt.”
“Zit het boven een bepaalde drempel, dan moet je een beslissing nemen en die afwegen tegen het risico: meteen patchen, het systeem weghalen of verder onderzoeken.” Als beveiligingsleverancier ontwerpt Fox-IT detectieregels voor klanten en gaat zelf op zoek naar misbruik. “Er gaan meteen veel tandwielen draaien”, gaat van Oeveren verder.
AI versnelt
AI-modellen speelden naar verluidt een grote rol in het ontdekken van de kwetsbaarheid. Dat is stilaan het nieuwe normaal voor softwarebeveiliging. Wanneer een kwetsbaarheid bekend is, spreken we niet meer over maanden, maar over dagen tot uren voordat die kan uitgebuit worden. Standaard krijgt een leverancier negentig dagen om een lek te dichten voordat het publiek wordt gemaakt.
Van Oeveren vindt het overdreven om te stellen dat AI de spelregels plots helemaal veranderd heeft. “Het patchen verloopt uiteindelijk niet veel anders dan vroeger, maar wel veel sneller. AI versnelt veel zaken, zeker in softwarebeveiliging. Kwetsbaarheden worden sneller ontdekt en moeten dus ook sneller gepatcht worden.”
Aanvallers en verdedigers hebben dezelfde mogelijkheden, en een mens blijft nodig om te verifiëren, vindt Van Oeveren. “Leveranciers gebruiken zelf LLM’s om kwetsbaarheden op te sporen, maar criminelen doen dat ook. Wanneer zo’n lek publiek komt, weet je niet altijd. Dat gebeurde vroeger ook, maar op veel kleinere schaal en aan een tragere snelheid dan nu.”
Iedereen verantwoordelijk
De voorbije dagen werd veel met de vinger gewezen wie nu de verantwoordelijkheid draagt. De PHP Foundation riep gebruikers van de programmeertaal op om meer bij te dragen aan de beveiliging. Nu twijfelen aan de veiligheid van open source code, zou volgens Van Oeveren een verkeerde reflex zijn. “Bij software die eigendom is van een bedrijf, kan de leverancier een kwetsbaarheid verborgen houden. Dat is onmogelijk bij open source.
Hij ziet in de openheid van de code vooral een sterkte. “Iedereen kan aan de code, en dat is goed. Een bedrijf kan een kwetsbaarheid verborgen houden. Open source kunnen we allemaal testen, en mensen doen dat ook. Ze zien de software als hun eigen en gaan er ook zo mee om.” Die verantwoordelijkheid is gedeeld. “Bedrijven die open sourcecode in hun aanbod aan klanten verwerken, halen er ook voordeel uit om er mensen op te zetten”, voegt hij toe.
Ook nu AI ingezet wordt in softwarebeveiliging , heeft open source zijn voordelen. “Om met LLM’s op kwetsbaarheden te testen, heb je de broncode nodig. Software zonder openbare code kan je zo niet testen. Open source komt daardoor uiteindelijk veiliger uit de bus.”
Weten wat je hebt staan
Waakzaamheid blijft geboden volgens Van Oeveren. PHP-code zit overal: zo’n 70 procent van het internet is er afhankelijk van. Organisaties moeten daarom goed weten wat ze hebben staan. “De meeste organisaties hebben hier wel een goed beeld van. Dat gaat hand in hand met volwassenheid. Er zijn er ook die totaal geen overzicht op de eigen omgeving hebben.”
Regulering helpt hierbij een handje. NIS2 dwingt dat overzicht af, ook bij kmo’s. “Vroeger gebeurde dit te veel op basis van best effort. Nu worden dit soort zaken opgedrongen. Bedrijven zijn afhankelijker van elkaar en hebben dus ook meer verplichtingen tegenover elkaar. Als consument of gebruiker van diensten moet je hier ook op kunnen vertrouwen.”
Zijn belangrijkste les voor CISO’s en IT-managers klinkt bekend. “Dat is hetzelfde wat we al vijf tot tien jaar roepen: zorg dat je weet wat je hebt staan, wat er openstaat naar het internet, en dat je patchmanagement op orde is. Het begint bij die basisadviezen, daarna ga je een stap verder. Daarbijhoort ook dat als je gehackt wordt, en dat kan altijd gebeuren, dat je weet wanneer iemand binnen is.”
Hoeveel schade PHP2Shell uiteindelijk aanricht en hoe lang we er nog over zullen spreken, durft Van Oeveren niet te voorspellen. “We weten niet wat en hoeveel er nog uit zal komen.” Of het PHP-lek een storm in een glas water of een vernietigende tsunami zal blijken te zijn, weten we wellicht dus pas over enkele jaren.