De PHP-kwetsbaarheden zorgden vandaag, 21 oktober, voor een onrustige dag op internet. Ook wij namen maatregelen. Utopis bleef beschikbaar; onze WordPress-omgevingen haalden we uit voorzorg offline.
Om 17.00 uur waren deze omgevingen na installatie van de beveiligingsupdate weer online. Wat gebeurde er, en waarom bleef Utopis buiten schot?
Utopis bestaat uit applicaties op basis van ASP.NET en .NET Core. De kwetsbaarheden van vandaag zaten in PHP, een andere technische basis. Daardoor werd Utopis niet door deze specifieke problemen geraakt en konden onze klanten ermee blijven werken.
Is dat knap van ons? Nee. Het is vooral fijn dat Utopis buiten schot bleef. Andere techniek gebruiken betekent ook niet dat je automatisch veiliger bent. Iedere applicatie vraagt om onderhoud, beveiligingsupdates en mensen die opletten.
Ook grote websites zoals RTL Nieuws, MijnOverheid en Tweakers werden vandaag uit voorzorg offline gehaald. Dat zegt vooral iets over de omvang van het risico.
Voor onze eigen website en de websites die we voor klanten maken, gebruiken we WordPress als beheersysteem. WordPress werkt met PHP. Daar moesten we dus wel ingrijpen.
We hebben deze omgevingen tijdelijk uit de lucht gehaald om het risico te beperken terwijl we op de beveiligingsupdate wachtten. Een vervelende onderbreking, zeker als je net je website wilt bijwerken of bezoekers informatie zoeken. Maar op zo’n moment krijgt beveiliging voorrang.
Nadat we de nieuwe PHP-versie hadden geïnstalleerd, waren de omgevingen om 17.00 uur weer online. Utopis bleef ondertussen beschikbaar voor het beheren en gebruiken van productinformatie.
Gisteravond kondigde het PHP-team de beveiligingsupdate aan. Vandaag kwam deze beschikbaar. Ondertussen circuleerden al voortijdig vrijgekomen informatie en pogingen om de kwetsbaarheden te benutten. De PHP Foundation meldt dat zij vóór de vrijgave geen werkende aanvalscode had vastgesteld. De dreiging was wel reden om de update eerder uit te brengen dan oorspronkelijk gepland.
AI speelt in deze ontwikkeling een dubbele rol. Onderzoekers gebruikten AI om de PHP-kwetsbaarheden te onderzoeken en oplossingen te helpen controleren. Diezelfde mogelijkheden verlagen ook voor aanvallers de drempel om ingewikkelde zwakke plekken te doorgronden en bruikbaar te maken voor een aanval.
We profiteren graag van de snelheid waarmee AI ons helpt. Die snelheid vraagt tegelijk meer van het beheer van de software waarop we vertrouwen. Sneller beoordelen, sneller besluiten en soms tijdelijk de stekker eruit trekken. Vandaag betekende dat voor ons: Utopis beschikbaar houden en de WordPress-omgevingen tijdelijk sluiten totdat de update geïnstalleerd was.
Heb je vragen over de tijdelijke onderbreking van jouw website? Neem gerust contact met ons op.