PHP-patches lijken niet volledig, onderzoeker meldt extra aanvalsroutes
Nadat menig IT-beheerder met PHP in zijn systemen woensdag in de vroege ochtend de schrik van zijn carrière kreeg, kwamen er woensdagmiddag patches beschikbaar. Volgens de Zwitserse beveiligingsonderzoeker Nicolas Krassas zijn die echter niet volledig. Krassas meldt via X dat de patch voor PHP-versie 8.5.12 nog aanvalsroutes overlaat. De twee kritieke aanvalsroutes zijn volgens hem wel gedicht, maar er zouden nog drie methodes zijn waarmee aanvallers de woensdag bekendgemaakte kwetsbaarheden kunnen misbruiken. In hoeverre die claim klopt, is nog niet duidelijk.
Krassas publiceerde vervolgens via GitHub proof-of-conceptcode waarmee de resterende methodes naar eigen zeggen getest kunnen worden. Het gaat om geheugenbugs waarvoor nog geen afzonderlijke CVE-nummers zijn toegekend. Dat wil zeggen dat de kwetsbaarheden niet officieel werden geregistreerd, zoals wel gebeurd is met de twee (opgeloste) kritieke kwetsbaarheden.
Ook valt op dat Krassas zijn proof-of-conceptcode publiceerde zonder voorafgaande coördinatie met het PHP-team. Hij is overigens niet de enige die de oplossingen van PHP momenteel analyseert. Ook onderzoeker Elise Boyd, die online onder de naam Katze publiceert, plaatste vraagtekens bij de update. Haar melding lijkt betrekking te hebben op een geheugenbug in PHP 8.5.12. Een crash in een lokale testopstelling bewijst op zichzelf echter niet dat de bug op afstand uit te buiten is.
PHP-kernontwikkelaar Ilija Tovilo heeft intussen gereageerd op de melding van Katze. Tovilo omschrijft de bug als een ‘simpele geheugenbug’, waarvan misbruik veel gecompliceerder is. Bovendien zou de bug niet gelinkt zijn aan de twee kwetsbaarheden die woensdag zijn opgelost. Katze heeft de kwetsbaarheid, in tegenstelling tot Krassas, wel gecoördineerd gemeld bij PHP. Hoe de kwetsbaarheid die zij ontdekte werkt is nog niet bekend. Of de nieuwe meldingen een ernstig beveiligingsrisico vormen, moet nog blijken: er wordt online volop over gediscussieerd.
Miljoenen pogingen tot misbruik van PHP
Hoe kritiek de situatie woensdag was, blijkt wel uit een analyse van Cloudflare-CEO Matthew Prince. In de tien uur vóór de publieke bekendmaking van de PHP-kwetsbaarheden zag het bedrijf op zijn netwerk al duizenden pogingen tot misbruik. Dat aantal steeg tot tienduizenden binnen 45 minuten na de bekendmaking en zelfs honderdduizenden binnen twee uur. Later op woensdag en donderdagochtend waren het er miljoenen. Het gaat daarbij om pogingen tot misbruik, niet noodzakelijk om succesvolle aanvallen.
De kwetsbaarheden patchen blijft dus cruciaal. De nieuwe meldingen, waarover nog volop wordt gediscussieerd, mogen daar niet van afleiden. PHP heeft updates uitgebracht voor de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Beheerders doen er goed aan na te gaan welke versie hun systemen gebruiken en de toepasselijke beveiligingsupdate zo snel mogelijk te installeren.
Woensdag gingen verschillende websites in Nederland en ook enkele in België preventief offline om misbruik te voorkomen. Ook het Belgische Smartschool zag zich genoodzaakt de stekker eruit te trekken. Dat is niet zo vreemd: de kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) kregen allebei een kritieke ernstscore van 9,2 op 10.
Wereldwijd gebruikt bijna 70 procent van de websites waarvan de servertechnologie bekend is PHP. De programmeertaal is dus bijzonder populair, wat de potentiële impact van de kwetsbaarheden nog groter maakt. Via de lekken kunnen aanvallers zonder authenticatie code uitvoeren op kwetsbare servers. Daarmee kunnen ze mogelijk ook gevoelige gegevens buitmaken. Hoeveel websites daadwerkelijk zijn gecompromitteerd, is niet bekend.
