Waarom updates voor PHP-lekken slechts het halve werk zijn

Volgens Kors legt het actuele beveiligingslek een structureel probleem bloot: het onderhoud van de onzichtbare IT-infrastructuur bungelt bij veel organisaties onderaan de prioriteitenlijst.

De rekening voor uitgesteld onderhoud

Kant-en-klare beveiligingsupdates zijn enkel beschikbaar voor PHP-versie 8.2 en nieuwer. Organisaties die op oudere, niet meer ondersteunde PHP-versies draaien, zijn voor hun veiligheid afhankelijk van noodoplossingen van hostingpartijen of complexe en duurdere upgrades. De tijd dringt bovendien: ook PHP 8.2 ontvangt na 31 december geen beveiligingsupdates meer.

"Organisaties investeren graag in een nieuwe website of nieuwe functies, want dat is zichtbaar," legt Kors uit. "Het onderhoud van de techniek eronder is onzichtbaar. Zolang alles werkt, lijkt er niets aan de hand. Een upgrade kost geld en tijd, met het risico dat er onderdelen stukgaan. Dus wordt het steeds uitgesteld. Maar beveiligingsupdates komen alleen voor versies die nog worden onderhouden."

Kors vindt dat de verantwoordelijkheid niet enkel bij IT-leveranciers gelegd kan worden. "De organisatie zelf moet weten waar haar digitale dienstverlening op draait. We accepteren niet dat een bedrijf jarenlang zijn brandveiligheid negeert. Waarom accepteren we dat dan wel bij digitale veiligheid?"

Hij adviseert directies om hun websitepartners drie concrete vragen te stellen: welke PHP-versie draait er, krijgt deze nog beveiligingsupdates, en wie voert deze updates hoe snel uit?

'De deur is dicht, maar zit er al iemand binnen?'

Hoewel er tot dusver geen grote golf aan bevestigde inbraken is gemeld, circuleerde informatie over de lekken al online voordat de pleister beschikbaar was. Zo registreerde Amazon al op 17 oktober – vier dagen voor de officiële bekendmaking – de eerste misbruikpogingen.

Het installeren van een update haalt eventuele indringers niet automatisch weg. "Vergelijk het met een nieuw slot op de voordeur nadat je sleutel is gestolen," illustreert Kors. "Het nieuwe slot houdt nieuwe indringers buiten, maar wie al binnen was, of ongemerkt een raam op een kier heeft gezet, is daarmee niet weg. De update sluit de deur, maar je moet nog wel controleren of er niemand binnen zit."

Stille inbraak herkennen

Het opsporen van een stille inbraak vergt specialistisch onderzoek. "Een goede aanvaller maakt niets kapot, want hij wil juist ongezien blijven. Ondertussen kan iemand meekijken in je systemen of gegevens wegsluizen," waarschuwt de Pinewood-topman. Sporen zijn vaak te vinden in inloglogboeken, onverklaarbare bestanden, nieuw aangemaakte beheerdersaccounts of ongebruikelijk uitgaand netwerkverkeer.

Mochten organisaties aanwijzingen voor een inbraak vinden, dan geldt een strikt protocol:

1. Haal het getroffen systeem direct los van het netwerk, maar zet het niet uit en wis geen gegevens. Sporen zijn essentieel voor digitaal forensisch onderzoek.

2. Wijzig wachtwoorden en toegangssleutels op het systeem vanaf een ander, schoon apparaat.

3. Breng de reikwijdte van de inbraak in kaart: welke systemen en gegevens zijn ingezien?

4. Meld een eventueel datalek bij een risico voor betrokkenen binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens.

"De gevaarlijkste cyberaanval is niet de aanval die je website platlegt," besluit Kors, "maar de aanval die je niet opmerkt."