PHP heeft een beveiligingsupdate voor een zeer ernstig lek in de software uitgebracht, maar die blijkt niet te werken. Gisteren werd per ongeluk een groot gat in de populaire scripttaal geopenbaard, waardoor aanvallers kwetsbare servers konden overnemen. Het lek, dat door een groep Nederlandse hackers genaamd Eindbazen was ontdekt, was al maanden bij PHP bekend, maar een update liet op zich wachten.

Door nog onbekende reden werd de bugmelding gisteren opeens publiek toegankelijk, waarna die op het web belandde. De Eindbazen besloten hun advisory over het beveiligingslek dan ook te publiceren.

Noodpatch
PHP kwam gisteren met een noodpatch, maar die blijkt defect. "De update voor het PHP CGI-lek, die dagen lang getest zou zijn, verhelpt helemaal niets", aldus PHP-beveiligingsexpert Stefan Esser op Twitter. "Ze blijven dit soort blunders keer op keer herhalen."

Esser was onderdeel van het PHP Security Response Team, maar verliet de organisatie in 2006. De PHP Group zou namelijk alle pogingen om de populaire scripttaal veiliger te maken saboteren.

Ook de Eindbazen bevestigen dat PHP 5.3.12 en PHP 5.4.2, alsmede de officiële mod_rewrite oplossing het probleem niet verhelpen. 77,6% van alle websites op het internet gebruikt PHP.

Update 12:30
Stefan Esser haalt op Twitter hard uit naar PHP. "Typisch PHP, dat als ze beseffen dat hun patch stuk is, ze geen waarschuwing op de frontpage plaatsten. Nu downloadt iedereen de defecte update. En als ze vandaag 5.4.3 en 5.3.13 uitbrengen, moeten al die mensen het opnieuw downloaden."

Esser gaat verder: "Maar ze denken misschien dat ze [de laatste versie] al hebben. Als een systeembeheerder vandaag de update installeert en morgen een waarschuwing op een nieuwssite ziet, denkt hij dat hij de update al gedaan heeft."

Inmiddels is er ook een exploit aan hackertool Metasploit toegevoegd, maar die blijkt bepaalde functies niet uit te schakelen.