Kritieke PHP-kwetsbaarheden leiden tot massale website-uitval en noodpatches

Op woensdag 21 oktober zijn tientallen websites en online diensten, waaronder Nederlandse overheidswebsites zoals Overheid.nl, MijnOverheid.nl en DigiD, uit voorzorg tijdelijk offline gehaald. Dit gebeurde vanwege twee kritieke kwetsbaarheden in PHP, geregistreerd als CVE-2026-109618 en CVE-2026-109619, die beide een ernstscore van 9,2 hebben en Remote Code Execution (RCE) mogelijk maken zonder authenticatie 17. Het Nationaal Cyber Security Centrum (NCSC) waarschuwde organisaties en adviseerde om websites offline te halen als patchen niet direct mogelijk was; ook de eigen website van het NCSC ging uit voorzorg offline 17. De kwetsbaarheden treffen PHP-installaties die webverzoeken verwerken en zijn vermoedelijk aanwezig in alle PHP-versies vanaf versie 5 6.

De ontwikkelaars van PHP hebben op 21 oktober beveiligingsupdates uitgebracht voor de ondersteunde versies 8.2, 8.3, 8.4 en 8.5 (respectievelijk PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12) 1. Het NCSC benadrukt het belang van onmiddellijke installatie van deze patches, aangezien tijdelijke maatregelen geen volwaardige vervanging zijn 1. Hoewel er een publieke Proof of Concept (PoC)-code beschikbaar is, had het NCSC nog geen actief misbruik gesignaleerd vóór de patchrelease 67. Cloudflare, een firewall-dienst, meldde echter wel de eerste aanvalspogingen 7.

In ander nieuws is Albert Heijn, onderdeel van Ahold Delhaize, bezig met het stap voor stap heropstarten van systemen na een cyberaanval begin vorige week 9. Een beperkte groep vaste klanten kan weer bestellingen plaatsen, maar de bezorgcapaciteit is nog beperkt tot een derde 9. Ahold Delhaize heeft aangifte gedaan bij de politie, maar ziet op dit moment geen verband tussen deze aanval en de PHP-kwetsbaarheden 9.

Verder heeft het gerechtshof Den Haag geoordeeld dat een verzekeringsmaatschappij het losgeld moet vergoeden dat een klant in 2021 betaalde na een DoppelPaymer-ransomware-aanval 11. De verzekeraar weigerde dit vanwege sanctielijsten van de Amerikaanse overheid, maar kon onvoldoende onderbouwen dat dit tot sancties zou leiden 11. Tot slot waarschuwen de Duitse politie, FBI en het Britse National Crime Agency voor de SafePay-ransomwaregroep, die sinds augustus 2024 actief is en zeker zeshonderd vitale organisaties in Europa, Noord- en Zuid-Amerika en Australië heeft getroffen 29. Deze groep maakt gebruik van bruteforce, phishing en kwetsbaarheden in VPN-servers, firewalls en andere edge devices, en steelt data voordat de ransomware wordt uitgerold 29.