Overheden over de hele wereld haasten zich om veiligheidsmaatregelen te treffen nadat AI-technologie "ernstige" kwetsbaarheden heeft gevonden in PHP, een belangrijke programmeertaal. Berichtgeving over het verhaal zegt dat hackpogingen zijn toegenomen sinds de kwetsbaarheden aan het licht kwamen. De door AI ontdekte PHP-kwetsbaarheden treffen software die op ongeveer 70% van de websites draait, en daarom is dit verhaal ook ver buiten ontwikkelaars en systeembeheerders van belang.

Je hoeft PHP niet te begrijpen om erdoor geraakt te worden. De sites waar je inlogt, shopt of elke dag leest, zijn er mogelijk op gebouwd. Dit is wat we weten, wat het betekent en wat je kunt doen.

Waarom PHP-fouten zoveel websites bereiken

PHP is een server-side programmeertaal. Wanneer je een pagina laadt, draait PHP vaak achter de schermen op de server van de website om te bouwen wat je ziet, je login te controleren of je gegevens uit een database te halen. Omdat het zo wijdverspreid wordt gebruikt, is een fout in PHP zelf niet beperkt tot één website. Het kan mogelijk een enorm deel van het web tegelijk raken.

Dat is de kern van de zorg. Berichtgeving over de ontdekking beschrijft de bugs, in sommige berichten "PHP2Shell" genoemd, als in staat om aanvallers code te laten uitvoeren en geheugen te laten lezen op getroffen servers. Berichten zeggen ook dat de onderliggende fout meer dan tien jaar heeft bestaan, wat betekent dat hij jarenlang onopgemerkt in wijdverspreide software heeft gezeten.

Een bug op taalniveau verschilt ook van een typische websitehack. Het oplossen ervan is niet aan één bedrijf. Elke site-eigenaar, hostingprovider en organisatie die PHP draait, moet de update volgens zijn eigen schema toepassen, en sommigen zullen langzamer zijn dan anderen.

Hoe AI het ontdekken van kwetsbaarheden versnelt

Wat dit verhaal bijzonder maakt, is hoe de fouten werden gevonden. Volgens berichten gebruikten onderzoekers bij een bedrijf genaamd Calif een OpenAI-model om de problemen te identificeren en vonden ze de bugs binnen enkele dagen. Beveiligingsteams spitten al lang door code op zoek naar zwakke plekken, maar dat werk was traditioneel traag en arbeidsintensief.

De ontdekking laat zien hoe snel AI kan helpen fouten in code te vinden die mensen jarenlang hebben beoordeeld zonder ze op te merken. Dat is bemoedigend voor verdedigers, omdat dezelfde snelheid kan helpen problemen op te lossen voordat criminelen ze vinden. Maar het verkleint ook het venster tussen het openbaar maken van een fout en aanvallers die proberen deze uit te buiten. Als onderzoekers bugs zo snel kunnen vinden, is het redelijk te verwachten dat anderen, waaronder kwaadwillenden, vergelijkbare tools gebruiken.

Die spanning is de reden dat overheden snel handelen. Het doel is om patches toegepast te krijgen voordat de kloof tussen openbaarmaking en oplossing op grote schaal wordt uitgebuit.

Wat aanvallers nu doen

Het belangrijkste feit is dat hackpogingen zijn toegenomen sinds de kwetsbaarheden openbaar werden. Dit volgt een bekend patroon: zodra een kwetsbaarheid publiek wordt, scannen aanvallers het internet af naar sites die nog niet zijn bijgewerkt en onderzoeken ze op zwakke plekken. Sites die niet gepatcht zijn, zijn de gemakkelijkste doelwitten.

Berichten geven ook aan dat de officiële PHP-website en verschillende andere organisaties tot degenen behoorden die aan de kwetsbaarheden waren blootgesteld, een herinnering dat zelfs goed bedeelde, beveiligingsbewuste groepen bij een kwestie als deze betrokken kunnen raken.

Het is de moeite waard dit in perspectief te houden. Een toename van pogingen betekent niet dat elke PHP-site is gecompromitteerd. Veel sitebeheerders zullen snel patchen, en veel aanvallen zullen mislukken. Maar het risico is reëel voor sites die achterblijven, en meestal kun je van buitenaf niet zien welke sites dat zijn. Voor bredere context over hoe dit past in het algemene dreigingsbeeld, zie ons ThreatsDay-overzicht, dat meer dan 30 afzonderlijke beveiligingsverhalen in één briefing behandelt.

Wat dit voor jou betekent

Je kunt de server van een website niet zelf patchen, en dat is het ongemakkelijke deel. Wanneer een fout als deze bestaat, hangt de veiligheid van je gegevens deels af van hoe snel de sites die je gebruikt reageren. Als een site waarop je vertrouwt wordt gecompromitteerd, kunnen gegevens zoals je e-mailadres, wachtwoord of andere accountinformatie in gevaar komen.

Wat je wel kunt beheersen, is hoeveel schade één gecompromitteerde site kan aanrichten aan de rest van je digitale leven. De onderstaande stappen beperken die schade, ongeacht welke site is getroffen.

Wat gewone gebruikers kunnen doen om hun accounts te beschermen

  • Gebruik een uniek wachtwoord voor elk account. Als één site wordt geschonden, voorkomt een uniek wachtwoord dat aanvallers dezelfde login elders proberen. Een wachtwoordmanager maakt dit praktisch.
  • Schakel tweefactorauthenticatie (2FA) in. Zelfs als een wachtwoord wordt gestolen, maakt een tweede verificatiestap het veel moeilijker voor iemand om binnen te komen. Geef waar mogelijk de voorkeur aan een authenticator-app boven sms-berichten.
  • Blijf alert op phishing. Incidenten als dit lokken vaak vervolgoplichtingsmails uit die beweren dat je account is getroffen. Klik niet op links in onverwachte berichten. Ga rechtstreeks naar de site.
  • Let op berichten over datalekken. Als een dienst die je gebruikt je vertelt dat je bent getroffen, wijzig dan snel je wachtwoord en controleer je accountactiviteit.
  • Houd je eigen software up-to-date. Browsers, apps en apparaten krijgen ook beveiligingsfixes, en updates sluiten deuren waar aanvallers op vertrouwen.

De kern van de zaak

De door AI ontdekte PHP-kwetsbaarheden zijn een duidelijk voorbeeld van hoe snel de beveiligingsrace gaat. Dezelfde technologie die hielp lang verborgen fouten te ontdekken, kan ook de tijd verkorten die aanvallers hebben om te handelen, en daarom haasten overheden en sitebeheerders zich om te reageren. Je kunt PHP niet repareren, maar je kunt je accounts veel moeilijker uit te buiten maken. Begin met unieke wachtwoorden, schakel tweefactorauthenticatie in en behandel onverwachte accountmails met argwaan. Lees voor meer over de dreigingen die dit moment vormgeven ons ThreatsDay-overzicht en houd je verdediging actueel.