Lek in programmeertaal PHP: waarom websites in toekomst vaker offline gehaald zullen worden

Probeerde je vandaag iets online op te zoeken, dan heb je het vast al gemerkt: veel websites waren niet te bezoeken. Dat heeft alles te maken met PHP. In die programmeertaal zijn twee belangrijke beveiligingslekken gevonden. Toen dat naar buitenkwam zijn veel websites uit voorzorg offline gegaan, zodat er geen indringers op konden komen. Inmiddels zijn de lekken opgelost en komen websites langzaamaan weer online.

Complexe zee

Cybersecurity-expert Inge Bryan is niet verrast dat dit nu gebeurt, maar wel geschrokken. "Het is niet verbazend dat de bouwstenen van ons internet, van onze digitale infrastructuur, gebreken vertonen. Het is een hele grote complexe zee aan technologie en daar zitten fouten in. Maar", gaat ze verder, "dit is wel heel erg groot, mega." Dat komt omdat zoveel sites PHP gebruiken.

Inmiddels is bevestigd dat deze lekken in de beveiliging gevonden zijn met AI. Dat gaat heel snel, vertelt Bryan. "En dat betekent dat we schoksgewijs achter gaten gaan komen", vertelt ze. "Het lastige is dat je niet goed kan voorspellen wanneer dat gebeurt. Want de ontwikkeling van AI is echt een soort groeispurt."

Lastige afwegingen

Onder andere die ontwikkeling leidt ertoe dat dit soort situaties in de toekomst vaker voor gaan komen. En dan kunnen organisaties voor lastige afwegingen komen te staan, vertelt cybersecurity-expert Bert Hubert. "Dat een schoenenwinkel zegt: 'We zetten de site uit', dat is niet zo erg. Dan koop je een andere keer schoenen."

"Maar", vergelijkt hij, "voor een site van een ziekenhuis, waar mensen afspraken moeten maken, dan is het wel heftig als dat uitgezet moet worden."

Oude versies

Volgens Hubert geeft dit bloot hoe kwetsbaar organisaties zijn. "Veel organisaties hebben geen idee op welke software ze draaien", weet hij. Dat terwijl dat wel belangrijk is, bijvoorbeeld in dit soort situaties.

Daar komt bij kijken dat veel websites nog op oude versies van PHP draaien, zegt de expert. "Op een gegeven moment zegt de fabrikant: 'Wij ondersteunen die oude versies gewoon niet meer, dus daar gaan we geen nieuwe updates meer voor maken.' En wat blijkt? 47 procent van de websites die op PHP draaien, draaien op een versie waar helemaal geen ondersteuning meer voor is."

Paperclip

Naar aanleiding van dit lek kunnen we grote incidenten verwachten volgens Hubert. Waar sommige organisaties meteen bezig zijn geweest met het aanbrengen van beveiligingsmaatregelen, zijn er namelijk anderen die niet weten wat er vandaag allemaal gaande was. "Die worden dus in de loop van de dag allemaal helemaal aan gort gehackt", zegt Hubert.

Want door AI is ook dat een stuk makkelijker. "Daardoor kunnen ook mensen die helemaal geen superhackers zijn dit gat gaan uitbuiten. Ik vergelijk het een beetje met een fabrikant van fietssloten", vertelt Hubert. "Als het blijkt dat je zo'n fiets kan openen met een paperclip, moet iedereen een nieuw slot. Maar ondertussen kan iedereen met een paperclip zijn lol op."

Op heel diep niveau

Waar het nu vooral gaat over websites die worden gehackt, is dat niet het enige gevaar. "Programmeertaal PHP zit ook ingebakken in heel veel beveiligingsapparatuur." Hubert noemt bijvoorbeeld firewalls.

"Wat uniek is aan deze kwetsbaarheid: hij zit op een heel fundamenteel niveau, heel diep in heel veel soorten software", legt Hubert uit. Het is niet maar één computerlek. "Het is een lek in een fundamenteel stuk van de computerwereld."

Kwetsbaar

Wat er nu zou moeten veranderen? De cybersecurity-expert denkt in ieder geval dat organisaties meer inzicht moeten krijgen in hun eigen kwetsbaarheid. "Een van de weinige lessen die je hier concreet uit kan trekken: iedere organisatie moet permanent een goede lijst hebben welke softwareproducten ze aan het internet hebben hangen en welke versies wel en niet zijn bijgehouden."

Dit soort situaties, waarin websites preventief offline gaan, zullen we in de toekomst een stuk vaker tegenkomen, denkt Bryan. Volgens haar is dat juist een goede actie van organisaties. "Dat is een heel verstandige keuze, iets wat we moeten belonen als samenleving. De consument moet gaan begrijpen dat er diensten en websites offline worden gehaald en gewoon een tijd preventief niet beschikbaar zijn."

Stel online shoppen uit

Vandaag is wel 'heel spectaculair', volgens Hubert. "Zo slecht hebben we de internetbeveiliging in geen tijden meer meegemaakt." Hij vindt dit hét moment om te gaan kijken naar de Europese Cyberbeveiligingswet. "Daarin staat bijvoorbeeld dat het niet meer kan dat de directie van een belangrijk bedrijf geen enkel idee heeft van cybersecurity."

Wat je als burger kan doen om jezelf veilig te houden? Aan de veiligheid van websites kan je als consument natuurlijk niet zo veel doen, vertelt Bryan. "Maar wat je wel kunt doen als burger, is op dit moment geen dingen kopen bij vage websites. Als je ziet dat er storingen zijn, zou ik die online aankopen even uitstellen", zegt ze tot slot.