Onze update en terugblik op de PHP-kwetsbaarheid
De afgelopen dagen stond een kritieke kwetsbaarheid in PHP volop in de aandacht. PHP is een veelgebruikte technologie waarop wereldwijd veel websites en webapplicaties draaien. Vanwege de mogelijke impact was snel handelen van ons team noodzakelijk.
Wat is er gebeurd?
Op 20 oktober kondigde het PHP Security Team twee kritieke kwetsbaarheden aan, beide met een CVSS-score van 9,2. Beheerders en hostingpartijen werden opgeroepen zich voor te bereiden om beveiligingsupdates zo snel mogelijk na beschikbaarheid te installeren.
Gelukkig bleek slechts een deel van de websites die wij beheren mogelijk geraakt. Het ging daarbij met name om websites die gebruikmaken van het Content Management Systeem WordPress en onderliggend afhankelijk zijn van PHP.
De webapplicaties en platformen die we zelf ontwikkelen, maken doorgaans gebruik van andere technologie (Microsoft .NET). Deze omgevingen werden daarom niet geraakt door deze specifieke PHP-kwetsbaarheden en konden gedurende de situatie ongehinderd online blijven.
Hoe heeft Interpulse gehandeld?
Vanaf de eerste melding hebben we de ontwikkelingen nauwlettend gevolgd en in kaart gebracht welke omgevingen mogelijk kwetsbaar waren. Daarbij stond de veiligheid van onze klanten voorop. Het offline halen van websites is geen eenvoudig besluit geweest, maar bleek onvermijdelijk, veiligheid betekent ook durven ingrijpen. Hierbij volgden we nauwlettend de adviezen van het Nationaal Cyber Security Center(NCSC) en hoe experts aankeken tegen deze afweging.
Veiligheid betekent ook durven ingrijpen
Veel andere websites gingen ook offline, waaronder die van de Tweede Kamer, Schiphol, diverse ziekenhuizen en ook van het NCSC zelf.
Voor de betrokken WordPress-websites van onze klanten, waren we voor het patchen van de onderliggende PHP-omgeving afhankelijk van onze hostingpartner TransIP. De benodigde beveiligingsupdates kwamen woensdagmiddag rond 16.00 uur beschikbaar en zijn direct door TransIP toegepast op hun systemen.
Gedurende de situatie stonden we doorlopend in contact met TransIP over de beschikbaarheid en het doorvoeren van deze patches. Waar nodig hebben we aanvullende voorzorgsmaatregelen genomen en kwetsbare websites tijdelijk offline gehaald totdat de benodigde beveiligingsmaatregelen konden worden uitgevoerd.
Gedurende deze situatie waren diverse beheersystemen minder goed beschikbaar, vanwege de grote drukte, dat bemoeilijkte het weer online brengen van de diverse websites. De meest websites waren woensdag tegen de avond echter weer beschikbaar, de laatste websites hebben we donderdagochtend gecontroleerd weer beschikbaar gemaakt, waaronder onze eigen website.
Hoe is de situatie nu?
De acute fase is inmiddels voorbij en we zijn overgegaan naar monitoring en nazorg.
We blijven de betrokken omgevingen actief controleren en volgen eventuele nieuwe informatie rondom de kwetsbaarheden. Ook houden we in de gaten of er aanwijzingen zijn die aanleiding geven tot aanvullende maatregelen. We hebben geen aanwijzingen dat er actief misbruik is gemaakt van de betreffende kwetsbaarheden, maar zullen dit blijven monitoren de komende dagen. Hierbij volgen wij ook de adviezen en aanwijzingen van het NCSC.
We willen onze klanten graag bedanken voor het vertrouwen en begrip, dat we de afgelopen 24 hebben gekregen. Natuurlijk hebben we ook begrip voor alle vragen die we kregen. We hopen met dit bericht enig inzicht gegeven te hebben in de situatie en hoe wij daarbij hebben gehandeld.
Feedback is vanzelfsprekend altijd welkom, ook wij trekken uit deze situatie onze lessen, zowel over wat goed ging als wat beter kan en moet bij een volgende keer.
Indien u nog vragen heeft naar aanleiding van dit bericht en de situatie rond de PHP kwetsbaarheden, dan kunt u contact opnemen met onze support via support@interpulse.nl.
Relevante links
* Nationaal Cyber Security Center (NCSC)
* Tech website Tweakers.net
* NU.nl over de PHP kwetsbaarheid
