Mainz en Saarbrücken halen websites offline na kritieke lek in PHP

De Duitse steden Mainz en Saarbrücken hebben woensdagmiddag hun gemeentelijke websites offline gehaald. Dat gebeurde uit voorzorg, vanwege een kritieke kwetsbaarheid in de programmeertaal PHP. Mainz, de hoofdstad van de deelstaat Rijnland-Palts, nam onder meer de website van de landeshoofdstad zelf offline. Saarbrücken, de hoofdstad van het naburige Saarland, deed hetzelfde met zijn eigen portalen en onlinediensten.

Beveiligingsonderzoekers ontdekten twee kritieke lekken in PHP. Daarmee kunnen aanvallers op afstand kwaadaardige code op webservers uitvoeren. PHP is een scripttaal uit de jaren negentig waarmee een groot deel van het internet draait, van bedrijfswebsites tot contentbeheersystemen als WordPress. Het Duitse federale cybersecurity-agentschap BSI (Bundesamt für Sicherheit in der Informationstechnik) meldt dat alle bekende PHP-versies vanaf PHP 5 getroffen zijn. Volgens een expert van cybersecuritybedrijf Eset draait ongeveer twee derde van alle actieve websites wereldwijd op PHP, waaronder veel WordPress-installaties. Eset is een Slovaaks cybersecuritybedrijf dat wereldwijd antivirus- en beveiligingssoftware levert. WordPress draait zelf ook op PHP en wordt wereldwijd veel gebruikt voor het bouwen van websites. De ontwikkelaars van PHP brachten woensdag 21 oktober rond 16.00 uur een update uit om de gaten te dichten.

Het BSI gaf een officiële waarschuwing uit en classificeerde het risico als kritiek. Aanleiding: aanvallers kunnen via de lekken mogelijk op afstand schadelijke code op servers met PHP-toepassingen uitvoeren. Het agentschap adviseert organisaties de update meteen te installeren en IT-personeel paraat te houden. Het BSI is de centrale instantie van Duitsland voor IT-beveiliging.

Ook het Berlijnse universiteitsziekenhuis Charité nam woensdag rond het middaguur meerdere eigen websites van het net. Daarbij was geen sprake van een daadwerkelijke aanval. Het ziekenhuis noemt het een urgente voorzorgsmaatregel. Het wilde de benodigde beveiligingsupdates een dag later hebben doorgevoerd. De Charité is een van de grootste universiteitsziekenhuizen van Europa, met meerdere locaties in Berlijn.

Naast ziekenhuizen en gemeenten haalden ook de deelstaat Baden-Württemberg en het Bundesministerie van Binnenlandse Zaken hun websites preventief offline. Datzelfde deden de inlichtingendiensten (Verfassungsschutz) van Beieren, Hessen en Thüringen, en meerdere Duitse universiteiten. Baden-Württemberg ligt in het zuidwesten van Duitsland, met Stuttgart als hoofdstad. Het Bundesministerium des Innern is het Duitse ministerie voor binnenlandse veiligheid, migratie en de federale politie. De Verfassungsschutz is de binnenlandse inlichtingendienst van Duitsland. Naast de federale tak heeft vrijwel elke deelstaat een eigen dienst. Ook instellingen in Finland en Oostenrijk namen uit voorzorg sites uit de lucht.

Volgens BSI-vicepresident Thomas Caspers is snel, grootschalig misbruik van de kwetsbaarheden waarschijnlijk, al binnen uren na het uitkomen van de patch. Aanvallers kunnen met AI-tools de update razendsnel analyseren en daaruit geschikte exploits afleiden. Een vicepresident is bij het BSI de tweede man na de president van het agentschap.

Organisaties die de update van woensdag nog niet hebben geïnstalleerd, moeten dat volgens het BSI zo snel mogelijk doen. Ook houdt het BSI IT-personeel het best paraat voor eventuele vervolgstappen.