Kritieke PHP-kwetsbaarheden: waarom wij websites en webmail tijdelijk offline halen

Wat is er aan de hand?

Beveiligingsonderzoekers hebben twee kritieke kwetsbaarheden gevonden in PHP. Op 20 oktober kondigde de PHP-organisatie een beveiligingsupdate aan. Dezelfde dag lekte informatie over de kwetsbaarheden uit via sociale media, terwijl die nog geheim moest blijven. Daarom is de update vervroegd naar 21 oktober om 16.00 uur Nederlandse tijd.

De kwetsbaarheden zijn ernstig. Met één eenvoudig verzoek via internet kan een aanvaller op een kwetsbare server eigen code uitvoeren en zo de server overnemen. Er is al openbare voorbeeldcode die laat zien hoe dat werkt. Volgens het Nationaal Cyber Security Centrum (NCSC) is er nog geen actief misbruik gezien. Het NCSC verwacht wel dat dit snel en op grote schaal gaat gebeuren.

Wat is PHP en waar zit het in?

PHP is een programmeertaal die op webservers draait. Een groot deel van alle websites op internet werkt ermee, bijvoorbeeld websites in WordPress. Ook veel webmail, webwinkels en beheerpanelen van hostingpakketten gebruiken PHP.

PHP zit ook op minder voor de hand liggende plekken. Denk aan het beheerscherm van een router, firewall, NAS of UPS. Ook daar kan een kwetsbare versie in zitten. Zo'n apparaat werkt u meestal bij met een update van de fabrikant.

Wat heeft Westers gedaan?

Wij volgen beveiligingsmeldingen van softwareleveranciers, hostingpartners en het NCSC. Komt er een relevante kwetsbaarheid naar buiten, dan bepalen we direct wat het risico is en welke maatregelen nodig zijn.

Bij deze kwetsbaarheden hebben we uit voorzorg besloten om de websites en webmaildiensten op het Westers Futec-webhostingplatform tijdelijk offline te halen. Ze blijven offline tot de beveiligingsupdate volledig is geïnstalleerd en we de systemen extra hebben gecontroleerd. Daarna maken we ze weer beschikbaar.

Er zijn geen aanwijzingen dat systemen, websites, gegevens of mailboxen zijn gecompromitteerd. De onderbreking is een bewuste veiligheidsmaatregel, geen beveiligingsincident.

Waarom offline halen en niet gewoon afwachten?

Zolang de update niet is geïnstalleerd, is elk systeem met PHP dat vanaf internet bereikbaar is waarschijnlijk kwetsbaar. Omdat er al voorbeeldcode rondgaat, kan misbruik op elk moment beginnen. Een website die even niet bereikbaar is, is vervelend. Een overgenomen server is veel erger: dan kan een aanvaller bij gegevens komen of de server gebruiken voor verdere aanvallen.

Het NCSC adviseert om per systeem dat aan internet hangt een afweging te maken en het zo nodig uit te schakelen tot de kwetsbaarheden zijn verholpen. Er komen ook tijdelijke maatregelen om het risico te beperken. Die zijn volgens het NCSC niet genoeg om het probleem op te lossen, en ze kunnen bij een aanval de website juist laten vastlopen. Daarom kiezen wij voor zekerheid.

Wat betekent dit voor u?

Uw website of webmail staat bij Westers Futec

Dan is uw website of webmail tijdelijk niet bereikbaar. U hoeft zelf niets te doen. We installeren de update, controleren de systemen en zetten alles daarna weer aan. Zodra uw dienst volledig is hersteld, laten we het u direct weten.

U gebruikt andere diensten van Westers

Onze overige dienstverlening is niet geraakt door deze kwetsbaarheden en werkt gewoon. De servicedesk is bereikbaar zoals u gewend bent.

Uw website of systemen staan ergens anders

Vraag dan na bij uw hostingpartij of leverancier of uw website, webmail of webapplicatie PHP gebruikt, en wanneer de update wordt geïnstalleerd. De update is voor zover bekend alleen uitgebracht voor PHP 8. Draait uw website op een oudere versie, dan is een upgrade nodig.

Checklist: wat gaat u zelf na?

• Website elders gehost? Vraag uw hostingpartij of de update is geïnstalleerd.
• Webmail of webapplicatie? Vraag de leverancier of die PHP gebruikt en wanneer de update komt.
• Router, firewall of NAS? Zorg dat het beheerscherm niet vanaf internet bereikbaar is, en installeer de update van de fabrikant zodra die er is.
• Iets vreemds gezien? Denk aan een website die er anders uitziet of mails die u niet zelf heeft verstuurd. Bel dan direct uw ICT-partner.

Gaat het om patiëntgegevens en is er mogelijk iemand bij gekomen, dan moet u dat misschien binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Lees hoe u een datalek meldt.

Vragen?

We begrijpen dat deze tijdelijke maatregel ongemak kan geven. Toch vinden we het belangrijk om veiligheid voorop te zetten en in te grijpen als daar aanleiding voor is. Heeft u vragen over deze situatie of over de beveiliging van uw omgeving? Bel de servicedesk op 088 - 87 20 200.

Lees meer over MijnVeiligePraktijk, het beveiligingsprogramma van Westers voor zorgpraktijken, of over ICT-beheer en ondersteuning.