Een ruime week na het PHP-lek zit meer dan 60 procent van de bedrijfswebsites op een officiële fix
Werkt.ai las de websites van 401.127 Nederlandse bedrijven en organisaties voor en na de PHP2Shell fix. Iets meer dan 60% draait op een door PHP ondersteunde en gefixte versie. De rest draait voor een deel op zogenaamde gebackporte fixes (oudere niet meer door PHP ondersteunde versies die bijgewerkt zijn) of op een niet gepatchte versie.
Op 21 oktober bracht PHP een dringende update uit voor PHP2Shell, twee lekken waarmee een aanvaller zonder in te loggen eigen code op een webserver kan uitvoeren. Werkt.ai onderzoekt continue websites van echte Nederlandse bedrijven (eenmanszaken en holdings zijn uitgesloten) om te kijken hoe websites en vacatures veranderen als reactie op AI gebruik. Daarbij werd niet alleen gekeken naar de inhoud van de websites maar juist ook naar de verschillende software versies en achterliggende systemen. In totaal werden 650.872 websites van 401.127 bedrijven, stichtingen en verenigingen voor en na de fix bekeken.
Bij ruim 65% is te zien dat ze gebruik maken van PHP, 60% daarvan draait een door PHP ondersteunde versie met de fix. Bij de andere 40% is dat niet te zien. Een deel daarvan is door de hostingpartij gerepareerd zonder dat het versienummer veranderde, en een deel is nog gewoon lek.
Welke techniek gebruiken websites
Bijna twee derde van 650.872 werkende websites draait op PHP. Ze gebruiken vaak platformen als WordPress.
Een bouwplatform is een kant-en-klare dienst als Shopify of Wix, waarbij de aanbieder de techniek beheert. Bij bijna een op de vijf websites kan de techniek van buitenaf niet vastgesteld worden omdat de zogenaamde headers niet meegestuurd worden. Overigens is dit juist goed gedrag omdat op deze manier minder informatie vrijgegeven wordt die door kwaadwillenden gebruikt kan worden.
PHP versies voor en na de update
Bij 75% van deze websites ging het versienummer omhoog. Op oude reeksen, de PHP-versies die het PHP-project niet meer ondersteunt, draaide eerst 36% van de websites. Nu is dat 26%.
Alleen de nieuwe versie is hard bewijs
60,5% is zeker bijgewerkt. Deze websites tonen PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 of hoger. Die versies bestonden voor 21 oktober niet, en bij de eerste lezing toonde geen enkele website er een.
25,7% draait nog op een niet ondersteunde versie. Voor PHP 8.1 en ouder brengt het PHP-project geen fix meer uit. Sommige leveranciers doen dat wel. CloudLinux, cPanel en Linux-distributies bouwen de fix in de oude versie in, en het versienummer blijft dan gelijk. Hoster GreenGeeks legt uit dat een gerepareerde PHP 7.4 daardoor nog steeds 7.4.33 meldt. Zo’n website lijkt van buitenaf precies op een server die al jaren niemand heeft aangeraakt en nog lek is. Hoeveel websites in welke groep zitten, is van buitenaf niet te zien. Van de vergeleken websites draait 10% nog PHP 7.4, en bijna 3% PHP 5 of ouder.
Ruim 13% draait een ondersteunde reeks maar niet de laatste versie. Meestal is de update dan gewoon niet geïnstalleerd. Op servers met cPanel en CloudLinux kan de fix er toch in zitten, al blijft het oude nummer staan.
Het risico zit nu in de schaal
Met de jaren is het door de komste van tools en AI als hulmiddel makkelijker geworden om een lek te misbruiken. Aan de ene kant worden AI systemen ingezet om actief te zoeken naar zero-day kwetsbaarheden en aan de andere kant maakt AI het makkelijker om bestaande kwetsbaarheden zonder technische kennis te exploiteren op een grotere schaal.
PHP2Shell laat die snelheid zien. Cloudflare telde duizenden pogingen in de tien uur voor de bekendmaking en al binnen een dag miljoenen pogingen. Amazon zag op 17 oktober al een eerste poging. Op 26 oktober bevestigde de Amerikaanse cyberdienst CISA dat het lek echt wordt misbruikt.
Kleine bedrijven zijn geen onopvallend doelwit meer. geautomatiseerde aanvallen kunnen op schaal het internet afstruinen en dergelijke exploits ook op schaal uitvoeren. Daarbij zijn technische kennis en ervaring steeds minder vaak een vereiste.
Wat betekent dit voor de werkvloer?
Het bijwerken van een website was vaak iets voor de volgende onderhoudsbeurt. Nu kan een lek binnen uren worden misbruikt, terwijl veel mkb-bedrijven geen eigen IT-afdeling hebben. Spreek daarom duidelijk af wie er verantwoordelijk is, wie er op de hoogte blijft bij nieuwe versies en updates en hoe je met dergelijke situaties omgaat. Controleer en vraag ook je hostingpartij of websitebouwer of de fix voor PHP2Shell is doorgevoerd. Draait de website op PHP 8.1 of ouder, plan dan de overstap naar een nieuwere versie. Een stille fix lost alleen dit ene lek op.