Meer dan 60 procent van de onderzochte Nederlandse websites beschikte ruim een week na de beveiligingswaarschuwing over de officiële oplossing voor twee ernstige kwetsbaarheden in PHP. Dat blijkt uit een analyse van Werkt.ai onder 401.127 websites van Nederlandse bedrijven, stichtingen en verenigingen. Een aanzienlijk deel van de onderzochte websites had de reparatie op dat moment nog niet doorgevoerd.
Kwetsbaarheid maakte uitvoering van code mogelijk
PHP bracht op 21 oktober een dringende update uit voor de kwetsbaarheden die in het bronmateriaal worden aangeduid als PHP2Shell. Door de lekken kon een aanvaller volgens de beschikbare informatie zonder eerst in te loggen eigen code op een webserver uitvoeren. Dat is een belangrijk risico, omdat een aanvaller daarmee niet alleen een pagina kan bekijken, maar mogelijk ook handelingen op de server kan laten uitvoeren.
De meting richtte zich op websites van Nederlandse organisaties. Eenmanszaken en holdings zijn buiten het onderzoek gehouden. Daardoor gaat het genoemde aantal niet over alle websites in Nederland, maar over de specifieke groep die Werkt.ai heeft onderzocht. De uitkomst maakt wel zichtbaar hoe snel organisaties reageren wanneer voor veelgebruikte webtechnologie een beveiligingsprobleem wordt gemeld.
| Onderdeel | Gegeven |
|---|---|
| Onderzochte websites | 401.127 |
| Organisatietypen | Bedrijven, stichtingen en verenigingen |
| Uitgesloten | Eenmanszaken en holdings |
| Stand van zaken | Meer dan 60 procent had de officiële oplossing |
| Update uitgebracht | 21 oktober |
Resterende websites blijven aandachtspunt
Het percentage betekent dat de officiële oplossing op meer dan zes op de tien onderzochte websites was aangetroffen. Het zegt niet hoeveel websites daadwerkelijk zijn aangevallen en evenmin of iedere nog niet bijgewerkte website misbruikt is. Ook bevat de beschikbare informatie geen uitsplitsing naar sector, hostingpartij of gebruikte PHP-versie. Daarmee is niet vast te stellen welke organisaties binnen de resterende groep het grootste risico lopen.
Voor websitebeheerders ligt de eerste verantwoordelijkheid bij het controleren van de gebruikte PHP-installatie en het toepassen van de beveiligingsupdate. Het gaat daarbij niet alleen om de zichtbare website. PHP draait op de webserver en kan onderdeel zijn van een inhoudsbeheersysteem of een andere toepassing die op de achtergrond wordt gebruikt. Een beheerder die alleen de webpagina controleert, heeft daardoor niet automatisch vastgesteld dat de onderliggende software is bijgewerkt.
- Controleer of de officiële PHP-update is geïnstalleerd.
- Breng in kaart welke websites en webservers binnen de organisatie PHP gebruiken.
- Onderzoek of systemen naast de website zelf afhankelijk zijn van dezelfde software.
- Leg vast wanneer de controle en de installatie van de oplossing zijn uitgevoerd.
Beveiliging blijft afhankelijk van beheer
De cijfers onderstrepen dat een waarschuwing en een beschikbare reparatie niet onmiddellijk betekenen dat alle systemen veilig zijn. Tussen het uitbrengen van een update en de toepassing ervan zit een periode waarin organisaties moeten vaststellen welke systemen geraakt worden, de wijziging moeten testen en haar vervolgens moeten installeren. Hoe lang dat proces duurt, kan per organisatie verschillen. De broninformatie geeft geen verklaring voor de websites die de officiële oplossing nog niet hadden.
Voor bezoekers is doorgaans niet zichtbaar welke versie van PHP een website gebruikt. Dat maakt de beveiliging grotendeels een verantwoordelijkheid van de organisatie achter de site en van de partij die de webserver beheert. De analyse van Werkt.ai biedt daarom vooral een momentopname van de voortgang, geen garantie dat een afzonderlijke website veilig is. Wel laat het onderzoek zien dat de reactie na ruim een week nog niet volledig was, terwijl de kwetsbaarheden toegang konden bieden tot het uitvoeren van eigen code zonder dat een aanvaller eerst hoefde in te loggen.
