PHP-gebreken leiden tot voorzorgsshutdowns van overheidswebsites wereldwijd
Overheidswebsites en andere publiek toegankelijke online diensten werden op 21 en 22 oktober offline gehaald in verschillende landen, terwijl beheerders reageerden op twee kritieke beveiligingskwetsbaarheden in PHP, een programmeertaal die wordt gebruikt voor het runnen van veel websites. De onderbrekingen hadden invloed op de toegang tot openbare informatie en delen van online diensten van sommige organisaties terwijl technische teams werkten aan beveiligingsupdates.
De shutdowns werden grotendeels omschreven als voorzorgmaatregelen. Een niet-beschikbare website in dit incident is op zichzelf geen bewijs dat hackers zijn doorgedrongen tot de systemen. Sommige beheerders gaven expliciet aan dat ze geen waarschuwing hadden gevonden of dat een datalek niet de oorzaak was van de onderbreking.
Openbare diensten en andere websites offline gehaald
Het rapport van Reuters van 22 oktober documenteerde preventieve website-deactiveringen door de federale IT-dienstverlener van Duitsland, ITZBund, en de tijdelijke shutdown van Franse prefectuurwebsites. Het digitale ministerie van Duitsland zei dat er geen beveiligingsincidenten bekend waren. In Finland sloot het staats-IT-centrum Valtori de openbare webdiensten van de overheid als voorzorgsmaatregel en zei het dat het geen pogingen had geïdentificeerd om de kwetsbaarheden te misbruiken.
Hetzelfde rapport beschreef gedeeltelijke online-service schorsingen bij Japanse overheidsinstellingen en verschillende financiële en transportbedrijven. Dit waren schorsingen van bepaalde internetdiensten, geen bevestiging dat elke functie van die organisaties was gestopt. Reuters meldde ook dat het Internet Archive online was teruggekeerd na noodonderhoud en beveiligingspatches. Lezers kunnen die dienst afzonderlijk volgen op de Internet Archive-pagina van SID; het herstel betekent niet dat elke getroffen website weer is geopend.
De onafhankelijke berichtgeving van The Guardian meldde shutdowns van overheidswebsites in verschillende Europese landen, waaronder sites die verband houden met het Nederlandse parlement en het nationale cyberbeveiligingscentrum. Het meldde ook dat de Wikimedia Foundation verschillende systemen offline had gehaald totdat ze konden worden gepatcht. Dat is een verklaring over geselecteerde systemen, niet een bevestigde wereldwijde shutdown van de hele Wikipedia-dienst.
Oplossingen beschikbaar, maar herstel blijft site-specifiek
De BBC meldde dat er woensdagmiddag een oplossing is uitgebracht en dat meerdere cybersecurityagentschappen organisaties moedigden die het niet snel konden toepassen om te overwegen hun sites offline te halen. De berichtgeving onderscheidde ook bevestigde voorzorgsshutdowns van websites die niet toegankelijk waren, waarvan de beheerders nog niet hadden bevestigd dat er een verbinding met PHP bestond. Dat onderscheid is belangrijk bij het beoordelen van hoe wijd de incidenten de online toegang beïnvloedden.
Het officiële CERT-EU beveiligingsadvies identificeert twee kwetsbaarheden die het mogelijk zouden maken voor een niet-geauthenticeerde aanvaller om code op een getroffen systeem uit te voeren. Het registreert oplossingen voor ondersteunde PHP-releasebranches en adviseert overweging te geven aan isolatie van openbare netwerken waar onmiddellijke patching niet haalbaar is. De release-aankondigingen van het PHP-project bevestigen dat beveiligingsupdates op 21 oktober zijn uitgebracht. Die aankondigingen bevestigen de beschikbaarheid van oplossingen, niet de voltooiing van het herstelwerk van elke beheerder.
De rapporten die voor dit artikel zijn geraadpleegd, geven geen enkele hersteltijd voor alle getroffen websites. Beslissingen om weer open te gaan zijn afhankelijk van individuele beheerders die updates toepassen en hun systemen controleren. Er is hier geen geverifieerd totaal van gecompromitteerde organisaties of getroffen gebruikers vastgesteld, en dit rapport beschouwt schattingen van de populariteit van PHP niet als een telling van websites die offline zijn gegaan.
Voor lezers die de onderbrekingen volgen, biedt de realtime-weergave van Status Is Down en het nieuwsarchief plaatsen om serviceberichten en onafhankelijk verkregen uitvaldekking te volgen. Website-eigenaren die de monitoringsdiensten van SID willen, kunnen plannen vergelijken en zich aanmelden. Beschikbaarheid van monitoring is afzonderlijk van het toepassen van een beveiligingsoplossing: een herstelde openbare pagina en een gepatcht onderliggend systeem zijn verschillende claims, en elk vereist zijn eigen bewijs.
Afbeeldingscredit: ID 47491094 © Maciek905 | Dreamstime.com