De gevolgen van de PHP2Shell-kwetsbaarheid zijn geëscaleerd tot een van de grootste gecoördineerde noodreacties op internet in jaren, waarbij overheden websites uit voorzorg offline halen en beveiligingsbedrijven miljoenen exploitatiepogingen melden tegen websites die de programmeertaal PHP gebruiken, die ongeveer 70 procent van de sites in de wereld ondersteunt.
Miljoenen exploitpogingen binnen enkele uren Voor meer context over dit verhaal, zie ons meer AI-verhalen.
Volgens The Guardian zei Matthew Prince, CEO van Cloudflare, dat zijn bedrijf tienduizenden exploitatiepogingen registreerde in de eerste 45 minuten nadat de kwetsbaarheid openbaar werd, oplopend tot honderdduizenden binnen twee uur en ‘miljoenen nu’. Cloudflare meldde ook dat er duizenden pogingen waren ondernomen in de tien uur voordat de fout publiekelijk werd aangekondigd, een detail dat de bezorgdheid heeft aangewakkerd over de manier waarop met de openbaarmaking werd omgegaan.
Amazon Threat Intelligence zei dat PHP2Shell "nu op grote schaal in het wild wordt uitgebuit" en dat het verschillende pogingen van meerdere actoren heeft geïdentificeerd om manieren te vinden om van de kwetsbaarheid te profiteren, zelfs voordat PHP-ontwikkelaars de oplossing woensdag uitbrachten. Beveiligingsprofessor Alan Woodward van de Universiteit van Surrey vertelde de krant dat de fout een dag voordat de patch beschikbaar was aan het licht kwam en zei: "iemand heeft de kat uit de zak gehaald."
Overheden halen sites offline om te patchen
De reactie was ongewoon drastisch. In het Verenigd Koninkrijk vertelde minister van cyberveiligheid Liz Lloyd aan het Parlement dat 32 overheidsdiensten offline waren gehaald, waarbij hij de stap omschreef als grotendeels uit voorzorg terwijl er updates werden toegepast. Downing Street zei dat er geen kritieke openbare diensten zijn getroffen en dat sommige beperkte diensten mogelijk tijdelijk niet beschikbaar zijn, maar benadrukte dat dit niet betekent dat ze zijn gehackt.
Het Britse National Cyber Security Centre stuurde 50.000 waarschuwingen naar getroffen organisaties en zei dat het geen meldingen had ontvangen van succesvolle hacks. Het bureau omschreef de omvang van de kwetsbaarheid als "ongekend" en waarschuwde dat de patch niet zal werken voor sommige organisaties die oudere systemen gebruiken, die deze volledig zullen moeten vervangen. Sites die naar verluidt door tijdelijke storingen zijn getroffen, zijn onder meer de website van de BBC-show Traitors, het internetarchief, Wikipedia en 4Chan.
In de Verenigde Staten heeft de National Security Agency een adviserende waarschuwing afgegeven dat aanvallers door de fout de controle over webservers kunnen overnemen, gevoelige gegevens kunnen stelen, diensten kunnen verstoren en dieper in gecompromitteerde netwerken kunnen doordringen. "Cyber-actoren zullen PHP2Shell waarschijnlijk als wapen inzetten", aldus het agentschap, eraan toevoegend dat de risico's "ernstig genoeg zijn om onmiddellijke patching door Amerikaanse overheidsdepartementen en -agentschappen te vereisen."
De noodhulp overschreed de grenzen snel. Zuid-Korea heeft noodmaatregelen geactiveerd, het waarschuwingsniveau voor cyberbeveiliging in de particuliere sector verhoogd en richtlijnen gegeven aan tienduizenden bedrijven. Het Chinese ministerie van Industrie heeft organisaties opgeroepen hun systemen te inspecteren, te upgraden naar de nieuwste veilige versie van PHP en wachtwoorden en sleutels te wijzigen. De Japanse premier moedigde bedrijven aan om de kwetsbaarheid te patchen of hun sites te sluiten.
Waarom PHP2Shell historisch wordt genoemd
Ciaran Martin, de voormalige CEO van het NCSC, omschreef de fout als ‘zeer ernstig’ en ‘de ernstigste kwetsbaarheid die in vijf jaar is ontdekt’. Wiz, een van de onderzoeksorganisaties die de kwetsbaarheid heeft ontdekt, heeft gezegd dat het misschien wel een van de ernstigste softwarefouten is die ooit zijn ontdekt.
De oorsprong van de kwetsbaarheid maakt het tot een mijlpaal voor AI-beveiliging. Volgens Wiz waren de onderliggende PHP-fouten al tientallen jaren aanwezig, maar om aan te tonen dat ze daadwerkelijk konden worden misbruikt, was een uitzonderlijk complexe reeks stappen nodig op de rand van wat menselijke onderzoekers praktisch konden bereiken. “Frontier AI-modellen hebben die barrière substantieel verkleind, waardoor een al lang bestaande fout in een exploit is veranderd”, schreef het bedrijf in zijn blogpost.
De waarschuwing van de NSA gaat over wat aanvallers met toegang kunnen doen. Internetinfrastructuurexpert Michał Woźniak vertelde The Guardian dat vijandige actoren ‘de bronnen’ van blootgestelde sites zouden kunnen afpakken, omdat grote websites waardevolle rekenkracht, servers en IP-adressen controleren. Criminele groepen zouden zich kunnen nestelen in gecompromitteerde sites om aanvallen uit te voeren die niet naar hen kunnen worden herleid, terwijl cryptominers servers zouden kunnen kapen om gratis energie-intensieve berekeningen uit te voeren. In veel gevallen, zo merkte hij op, zouden site-eigenaren zich niet eens bewust zijn van het compromis.
Een waarschuwing tijdens het alarm
Niet iedereen gelooft dat de schade is aangericht. Ryan Austin, een onderzoeker bij cyberbeveiligingsbedrijf Calif die de sleutel was tot het ontdekken van de fout, vertelde The Guardian dat "het er op dit moment niet op lijkt dat uitbuiting een vlucht heeft genomen of wijdverspreid is." De Britse Kamers van Koophandel zeiden dat de verstoring nog geen noemenswaardige problemen voor Britse bedrijven heeft veroorzaakt.
Voormalig GCHQ-chef Sir David Omand waarschuwde echter dat tegenstanders van de staat, waaronder Rusland en China, zouden kunnen proberen de bug te exploiteren voordat de verdediging volledig op zijn plaats is. Dit herinnert ons eraan dat het internet het meest kwetsbaar is in de periode tussen openbaarmaking en volledig herstel.
Wat site-exploitanten nu moeten doen
Voor organisaties die nog steeds kwetsbaar zijn, zijn de richtlijnen van bureaus consistent: upgrade onmiddellijk naar de nieuwste gepatchte versie van PHP, controleer of patches netjes zijn aangebracht en waar systemen te oud zijn om de oplossing te accepteren, isoleer of vervang ze. De waarschuwing van het NCSC dat sommige verouderde systemen helemaal niet kunnen worden gepatcht, duidt erop dat de lange staart van deze kwetsbaarheid tot ver na de huidige noodsituatie zal voortduren.
De aflevering beslecht ook een debat over AI-ondersteund offensief onderzoek. Wat een week geleden nog theoretisch was, is nu een actueel mondiaal incident: een AI-systeem heeft een manier gevonden om bugs te bewapenen die tientallen jaren ongebruikt bleven liggen, en elke regering op het internet is nu de hele week bezig met opruimen.
---
Blijf Voorop met AIHet laatste AI-nieuws, analyses en doorbraken — allemaal op één plek.
Lees meer AI-nieuws →
