Een zeer ernstig beveiligingslek in de populaire scripttaal PHP waavoor nog geen patch is, is per ongeluk door het ontwikkelteam geopenbaard, waardoor miljoenen servers risico lopen om gehackt te worden. Via de PHP-CGI query string parameter kwetsbaarheid is het mogelijk om een remote shell te krijgen en op afstand willekeurige code uit te voeren.

Wie PHP met behulp van CGI draait is kwetsbaar, ongeacht wat het PHP-script doet. Veel hostingproviders zouden deze opstelling gebruiken.

De kwetsbaarheid was bij PHP aangemeld en in de bugtracker opgenomen. Door een fout van het PHP-ontwikkelteam was de bugmelding voor iedereen zichtbaar. Inmiddels is de kwetsbaarheid weer op privé gezet, maar de informatie is nu ook online te vinden. Op dit moment is er nog geen beveiligingsupdate beschikbaar.

Update 12:12
Het lek was begin januari door de Eindbazen ontdekt, een groep Nederlandse hackers. De kwetsbaarheid werd op 17 januari aan PHP gerapporteerd, inclusief een mogelijke update. Op 1 februari had PHP nog steeds niet gereageerd. De hackers wilden daarom het proces via het Computer Emergency Response Team (CERT) van CERT.org laten lopen.

Op 23 februari werd het CERT ingelicht, waarbij er op 5 april om een statusupdate werd gevraagd. In een reactie liet het CERT weten dat PHP nog aan een update werkte. Op 20 april vroegen de hackers het CERT om het lek te openbaren, tenzij er op korte termijn een update zou verschijnen. Een week later was het CERT inderdaad met een advisory bezig.

Op 2 mei bleek dat PHP een patch aan testen was, maar de ontwikkelaars meer tijd nodig hadden. De Nederlandse hackers gingen daarmee akkoord en wilde het openbaren van het lek uitstellen, totdat iemand bij PHP vandaag per ongeluk het lek openbaarde.

Impact
"De impact is groot. Er is momenteel geen fix vanuit PHP beschikbaar en het geeft remote code execution op kwetsbare servers. Daarnaast kan eenvoudig de broncode van elk PHP-script gelezen worden", aldus een woordvoerder van de Eindbazen tegenover Security.nl. Op het blog van de groep zijn verschillende onofficiële patches verschenen.

"Deze zouden geïnstalleerd kunnen worden totdat er een update van de leverancier komt. Onze updates kunnen mogelijk bepaalde opstellingen breken. Een andere optie is om tijdelijk servers uit te zetten, totdat er een fix beschikbaar is."

Wat betreft de blunder aan de kant van PHP is de woordvoerder ontsteld. "Dit had nooit mogen gebeuren natuurlijk. De fout is snel gecorrigeerd maar toen was het kwaad al geschied. Iemand heeft vervolgens de bugmelding gekopieerd en online gezet. Een fout is natuurlijk menselijk, maar deze kan grote gevolgen hebben", aldus de woordvoerder.