Wat er is gebeurd, wanneer de kwetsbaarheden zijn gevonden en waarom nu pas actie is al te vinden op diverse websites.

Maar tussen de regels staat wel weer de vraag of er niet altijd een analoog alternatief beschikbaar moet zijn (zoals in België wettelijk is vastgelegd).

Tja, dat is het gevolg van alles maar online te willen hebben. Dit probleem oplossen? Dat betekent dat je systemen nodig hebt die werken op andere software zodat je niet van één leverancier afhankelijk bent. Maar dat kost teveel geld. Terug naar vroeger is gewoon niet meer mogelijk. Houd er maar rekening mee dat dit niet de laatste keer was dat zoiets gebeurd.

Nou nou, de herstelacties zijn nog in volle gang en we staan al weer te springen om vragen te stellen en beleid en wetten aan te passen. Het zijn terechte vragen maar dat kan toch wel even wachten.

Het mooiste is dat die twee lekjes in PHP echt nergens over gaan. Weer de zoveelste memory management issues, die waren te voorkomen geweest met een memory safe programmeertaal.

Maar nee, het is makkelijker om de code snippets die de 'taal' (proest!) PHP vormen te blijven gebruiken dan iets te schrijven in een echte programmeertaal.
Mensen kiezen bijna altijd de weg van de minste weerstand, dus blijven ze bij PHP omdat ze daar de korte termijnvoordelen van zien, eerder dan dat ze kiezen voor een verstandige oplossing voor de middellange en lange termijn.

Zielig hoor.

Dat moet zijn: digid.nl, mijn.overheid.nl, overheid.nl en tweedekamer.nl.

DigiD deed het gewoon. Mijn.overheid.nl niet en dus ook de berichtenbox niet.

Hoe kortzichtig, PHP is ouder dan de meeste memory safe talen, en ja de meeste problemen zijn uiteindelijk wel te voorkomen, toch gebeurt het niet omdat het mensen werk blijft. En zelfs in memory safe talen zijn vaak ook genoeg problemen te vinden die net zo erg, al dan niet erger zijn.

Wat een zielige reactie; het ging helemaal niet om de taal, maar om de interpreter.

Triest hoor.

En aan welke programmeertaal denk je dan?
Want zoiets als Rust is wel veiliger, maar niet veilig.
Wanneer je voor 100% wilt gaan, zal je naar een functionele taal met uitsluitend niet-muteerbare data moeten gaan.
De vraag is of je dan zelfs maar 1 project van voldoende programmeurs kunt voorzien.

Zat foutje in behandelen van de multipart (zie multi upload files).
Was door AI blijkbaar gevonden, en kon je root rechten mee krijgen, zodoende de naam PHP2Shell.
Alles waar je console toegang mee krijgt wat niet de bedoeling is, is een regelrechte security probleem, dus die paar lullige lekjes zorgen voor veel kopzorgen, hoe vervelend je het ook vind.

Zoals iedereen wel weet, en zou jij ook moeten weten, is dat men altijd achter hackers aan lopen.
Met AI hebben we hopelijk meer voordeel om ze soms iets voor te zijn, maar dat is niet altijd zo.

Weer een vreemde manier van denken in Den Haag. Er is een lek geconstateerd in de software waarop een aantal overheidssites draait. Dit lek is zodanig dat 'misbruikers' bij gegevens kunnen waar ze niet bij zouden mogen kunnen.
Volgens mij is een goede reactie: haal offline tot het lek gerepareerd is. Van daaruit verder kijken.

Welke gevolgen zou het hebben gehad als de sites niet offline gehaald waren en er een serieus datalek was ontstaan?
Volgens mij is het bij wet verboden ....... maar goed, we mogen ook niet te hard rijen in de auto.

Het laat zien hoe afhankelijk we zijn geworden van IT. Nu hebben we het over websites, stel voor dat een groot stuk internetstructuur lam wordt gelegd (door bijvoorbeeld DNS verkeer te blokkeren) of complete systemen worden platgelegd.
De afhankelijk is zo groot dat je bijna een papieren aangifte in je noodpakket zou moeten hebben.

Root rechten krijg je alleen als je 't process als root hebt draaien en success met het bouwen van je website in Rust.

In de tijd toen we nog alles op papieren deden raakte er ook wel 's stukken kwijt of waren niet terug te vinden. Dat is in de digitale wereld niet heel veel anders. Alleen toen raakte er wat kwijt van één persoon ofzo en als er nu iets "kwijt" is gaat het om heel veel personen. Maar tsja, da's de digitale tijd. Als het werkt is het mooi als 't niet werkt dan heb je een issue...

Het lijkt erop dat die kamerleden vragen hoe de rijksoverheid ISO/IEC 2700x standaarden geïmplementeerd heeft.

The Day After
Wat de kranten vertelden

Algemeen Dagblad
Paniek om beveiligingslek bij PHP leek alleen in Nederland te spelen, maar nu is het ook wereldwijd Alarmfase 1


https://www.ad.nl/buitenland/paniek-om-beveiligingslek-bij-php-leek-alleen-in-nederland-te-spelen-maar-nu-is-het-ook-wereldwijd-alarmfase-1~aad89d71/



https://www.ad.nl/tech/stichting-achter-kwetsbare-programmeertaal-php-trekt-boetekleed-aan-na-horrordag-was-gevolg-van-structureel-falen~a83e029f3/

In een kort tijdbestek heeft het AD tientallen korte artikelen over het PHP-lek gepubliceerd.

Is niet waar. De php webserver (lamp) draait niet met rootrechten maar als nobody met geen rechten. Het zal ongetwijfeld wel een gebruiker connectie hebben met een database maar root nee. Waarschijnl wel onder windows (wamp).

Frappant dat de impact zo klein is! Dat was met wannacry wel anders.

Gaan we dit ook bij elk Microsoft, Oracle, Apple en Samsung update?
Dan kunnen we elke week 300.000 euro door de wc spoelen, want dat kost een gemiddelde kamervraag namelijk.
Zonde geld..

Ga eens het land regeren ofzo... Heb een visie voor de komende 5 jaar, liefst 10 jaar.. zodat we weer kunnen wonen, reizen/rijden naar werk, eten kunnen kopen en in de winter niet bevriezen.

Want een gemiddeld rijtjeshuis in een normale stad van 650.000 euro (of huurprijs van 1800) is niet te betalen, een gemiddelde auto van 60.000 euro vanwege BPM monster of batterijen is niet te betalen en 4800 euro per jaar voor een ov kaartje is ook niet te betalen.. 2 euro per kuub gas is voor de meeste ook niet op te hoesten met deug-gas uit de VS of Qatar en een 600 euro aan boodschappen per maand is ook al vaker doorsnee dan uitzondering..

En dit alles komt o.a. omdat wij de afgelopen 25 jaar niets gedaan hebben aan lange termijn politiek. Alleen maar waan van de dag onzin.. en dat is morgen al weer gisteren-nieuws..

In juni was er CVE-2026-47291 voor IIS. Toen bleef het erg stil. Het is het succes van PHP wat maakt dat dit even een heel groot probleem is.
Daar komen we wel overheen.

En gaat die zelfde overheid nu ook een zakje geld richting de php maintainers gooien

Jezus gristus het was het advies van CERT-EU en NSCS "CERT-EU advises organisations to patch affected assets immediately. Where that is not feasible, organisations should consider isolating internet-facing applications from public networks until a fix is applied and verified." wat hadden ze dan moeten doen stront eigenwijs zijn en russisch roulette spelen met hun infra?

Het gaat niet om de exploit zelf het gaat over dat de informatie te vroeg bekend is geworden waardoor elke willekeurige scriptkiddie potentieel een aanval had kunnen doen zonder kennis zonder enige belemmering.
Daarom gingen de meeste bedrijven verstandig offline. het type aanval is een uit duizenden.

We weten ook niet hoeveel werkelijk zijn aangevallen omdat de hack gebruikt kan zijn voor payload, backdoors Niet een patch maar werkelijke security audit is het enige dat een beetje zekerheid kan geven over of er meer is gebeurd bij enige infra. *En dat kost tijd* Dit kan nog maanden door etteren omdat er genoeg beheerder nog liggen te slapen met hun patch management.

Hoe domme vragen moet je wel niet stellen als kamerlid. Wat zijn de gevolgen van dat een site of dienst eruit ligt voor bezoek of gebruiker? *Dat ze niet de site kunnen bezoeken of de dienst kunnen gebruiken*
Zijn er plannen om tijdig omgevingen te beschermen? *Ja maar dan moet de patch informatie wel beschikbaar zijn voor enige exploit online openbaar staat*

Ziet u, gezien het groeiende aantal kwetsbaarheden, storingen en cyberaanvallen, aanleiding om bestaande wetten en beleid aan te scherpen? *Het zijn amerikaanse bedrijven waar deze chaos door ontstond hoe wil je dat de f met een lokale wet aanpakken*

Surprise voor gene die niet in deze wereld leven dit is onze dagelijkse kost het enige bijzondere is de volgorde van het nieuws. Heb al weer twintig voor verdere monitoring drie ervan bij PHP en verwacht met vergrootglas erop nog veel meer patching daarop. Dat PHP.net nu het boete kleed aantrekt is netjes want ja ere ging wel meer mis maar ik denk dat momenteel de hele cybersec wereld eerder Chainguard hun CEO wil bekogelen met rotte tomaten voor het niet houden aan door hun zelf overlegde release embargo wat niet per ongeluk was maar bewuste niet overlegde keuze.

Oh ik heb zeker al succes, geen downtime en draait tig keren vlugger, sneller en beter dan PHP ooit zou kunnen.
En dat ook met een app die 80.000 requests per seconden behandeld, dat zie ik PHP niet nadoen.

Uhh je kan Apache nog altijd gewoon als root draaien.
En een console jailbreak is er al vaak genoeg makkelijk te vinden, dus dat het niet waar is, is ook niet waar van jou.

‘Ik ben hier zowaar opgetogen over’, schrijft cybersecurity-expert Bert Hubert. ‘Dat de Nederlandse overheid, gemeentes en bedrijven het serieus namen. Dit in tegenstelling tot andere landen, die vandaag vermoedelijk grootschalig de sjaak zijn.’ Nederland heeft grotendeels gehandeld voordat de problemen volledig uit de hand konden lopen, licht Hubert telefonisch toe. ‘Cybersecuritybedrijven zien nu dat de aanvallen toenemen tot miljoenen per uur. Nederland heeft gisteren al grootschalig actie ondernomen, terwijl op dat moment de golf nog op gang moest komen.’

https://www.volkskrant.nl/tech/nederland-reageerde-snel-op-php-lek-mede-dankzij-de-media-volgens-deze-expert-iedereen-stond-op-scherp-voor-dit-soort-nieuws~b42480d0/

Politiek ziet ICT niet als een corebusiness van de overheid.
Tot het fout gaat, en dan worden er vragen gesteld. (dan halen ze het nieuws weer even)

Als je als politiek de samenleving zo afhankelijk maakt van ICT, dan hoort dat wel een corebusiness van de overheid te zijn/worden.

In plaats daarvan wordt er van alles uitbesteed, is er geen/weinig kennis meer "in huis", en wil de politiek weer gaan bezuinigen in het ambtenarenapparaat. Want budgetten en kosten zijn belangrijker dan veiligheid en kunde.

Politiek en ICT. Epic fail.
Misschien maar beginnen met kundige politici in de Tweede Kamer.

Probleem is dat er voor de bekendmaking van de details alleen bekend was "Hoge CVSS score, paniek!". Dan is het enige wat je kan doen aannemen dat het ook voor jouzelf opgaat en preventieve maatregelen nemen, in dit geval kwam het nagenoeg alleen neer op uitzetten.

Pas met de bekendmaking kwam er meer technische informatie waarop je kan handelen. Uit de write-ups van PHP zelf kon je opmaken dat php-fpm wel kwetsbaar was maar niet te exploiten. Dat maakt dat een deel van de installaties (in ieder geval met nginx, ook best populair) niet geraakt is en dat had ook een mogelijke weg voor mitigatie geweest in de tijd voor de release van de patch.

Het AD is dan ook geen nieuwsmedium meer maar een clickbaitfarm

Alsjeblieft zeg volkskrant die weer eens een plasje moet doen over hunzelf als media met een interview.

Van nederlandse bekendere bronnen was er maar 1 die echt heeft bijgedragen aan de situatie (tot zelf offline gingen) en dat was tweakers als zovaak als het op tech aankomt door hun lezers die terechte aanvullingen deden vanuit bekende actuele OSINT van andere internationale bronnen. De rest van algemene media zat lekker te knippen en plakken en aan de zinnen kon je vaak ook genoeg zien dat ze geen idee hadden waar ze overschreven nog de reageerders onder hun berichten. Een weef fout in de programeertaal ik crinch nog steeds bij die uitspraak door media en politiek en ieder nam het over alsof het normaalste antwoord ooit was.

Iemand hier ooit van een weeffout in de IT gehoord? ik niet ik ken wel een ontwerpfout. Maar dit was een bewust genegeerd probleem waar ze al maanden mee bezig waren om het op te lossen. Absolute PR crap van Wiz met AI hyping en bijna elke media nam het uiteraard weer over zonder due diligence.

Waar het wel heeft geholpen is het makkelijk uitleggen richting managers directie waarom x en y actie verstandig is omdat er een moord en brand plaatje werdt geschetst waar we normaliter zorgvuldige risico, impact analyse uitvoeren zoals vakgebied betaamt. Normaliter mag je eerst nog even een essay schrijven waarom dit direct patchen verstandig is.

De echte reactie snelheid heeft enkel te maken met de ITers die hun werk deden in alle lagen. We hadden hier ook zonder media aandacht op kunnen schakelen want de meeste zijn niet blind die volgen de OSINT vanuit researchers dit is zowat dagellijkse kost we hadden hier niet zonder de gene achter de fysieke knoppen nu rustiger weer gezeten.

Dus bij deze dank aan allen die hun werk deden en elke dag doen. "De ITers" Kopieer plak en papagaai gedrag echter verdiend geen lintje nog erkenning.

Ga je schamen. Niemand draait apache php als root. Waaron zou je dat willen? Omdat dat in windows gebruikelijk is?

Windows met elke maand kritiek lek hoor je ook niet. Het is geen nieuws meer een het boeit niemand ondanks al die ransomware

There isn't an easy exploit for this PHP vulnerability: https://eliastaylor.com/noexploit/

Het draait als www-data... op de meeste sites en heeft ten minste toegang tot de webomgeving en bv php config data, via dat tot bv de databases achter de site etc. Er kan vast meer dan ongeveer niets.
Daarnaast kan er mogelijk onderzoek gedaan worden in de omgeving...

Wat ik zelf wat teleurstellend vond was dat security.nl ook in maintenance mode stond. Want dat is onder de eerste sites waar ik kijk.

Verder mooi erdoorgekomen hoor. Ik sla absoluut niks aan privedata op die niet nodig is. Wat wel, geencrypt.

Maar maintenance mode, dan moet het echt oorlog zijn. De kwetsbaarheden bleken al meer dan tien jaar in PHP te zitten. Vanwaar de haast ineens.

In plaats van kloppen op de update deur, actuele backups gedownload. En toen een tukje gaan doen tot het rustig was met alle race tegen de klok gekkies.

Op zich heb ik ook geen maintenance mode security nodig. Enig moment dat ik een onderbreking had was met herstarten van apache. Voor de rest glansrijk in de lucht gebleven. De hele tijd.

Avec de la pacience on arrive a tout!

Het was de juiste beslissing, de exploit chain had veel schade kunnen aanrichten.

goedkope kamervragen.
als de websites niet offline waren gehaald en gepatched had ze waarschijnlijk kamervragen gesteld waarom niet.

Laat ze eens gaan regeren en het werk overlaten aan degenen die daarvoor aan de lat staan.
Ze controleren de overheid, niet de IT-organisatie van Nederland.

Joh, je neemt Tweakers als maatstaf, een site met tech-nieuws, en stapt van daaruit over op "de rest van algemene media", formuleert het met "de rest" alsof Tweakers een algemene nieuwssite is die tech-nieuws veel beter brengt, en schiet op basis daarvan in een tirade tegen de Volkskrant. Kortom, waar je je kwaad om maakt heb je zelf geconstrueerd, dus eigenlijk zit je je energie te verspillen aan het bestrijden van jezelf. Je kan die energie op betere dingen richten, weet je?

NGINX wel, standaard. En mijn website draait op Rust, geschreven from scratch inclusief multipart forms. Mulithreaded en alles. Mijn website kwam in 1x door de PEN test.

En ja, porten vanuit PHP is veel werk, maar tegenwoordig kan je Hyper gebruiken als webserver library, dat scheelt enorm en is de snelste. Met RusTLS ben je ook sneller dan OpenSSL en veiliger.
Het begint bij echt willen. Dan kan het.

Herstel acties in volle gang? als je gisteren nog met herstel acties bezig was dan heb je de boel niet op orde.
Deze kamer vragen zijn eigenlijk ook best overbodig. in Nederland is veel uit gezet, juist om de strenge wet en regelgeving, als je dan gaat vragen of het nog strenger moet dan heb je het echt niet gesnapt.

Wat bedoel je met 'nginx wel'? Want ook nginx moet je niet als root draaien. (slaat ook nergens op, een webserver die enkel wat bestandjes oppakt en serveert of een sandboxed interpreter heeft draaien, root is helemaal nergens voor nodig).

En wat betreft rust, mensen begrijpen te term 'safe' in rust niet; het betekent niet dat het een veilige taal is die je beschermt tegen hackers, het betekent enkel dat het `memory-safe` is en dat er standaard meer regie is over hoe er met geheugen omgegaan wordt, niet dat de code die je ermee schrijft niet vol kan zitten met security exploits.
(dit is een beetje hetzelfde verwarring dat men denkt dat 'free software' gratis is, in plaats van vrij een woord heeft medere betekenissen. Zo betekent 'thread-safe' ook niet dat multithreading beveiligd is tegen hackers, maar eerder dat het praten tegen threads volgens de juiste paden gaat en je code daardoor niet stuk gaat).

Waar ik inmiddels ook wel achter ben is dan PEN-testen ook niet heilig zijn, met name exploitable code wordt nog wel eens gemist. Veelal wordt er naar het standaard riedeltje gekeken hoe de inrichting van je infra is.

Nee ik irriteer me aan berichtgevingen dat de media zogenaamd deze crisis heeft bezworen. "De media heeft dit opgeblazen" Waar we normaal dit soort sht als vakmensen gewoon behandelen.

Tuurlijk is een tech blog beter voor tech daar gaat het niet om het gaat om dat journalisiten buiten hun kennis gebied klakkeloos sht overnemen zonder controle wat ze zeggen klopt. Dat is een tedens die al jaren gaande is. Vaak zijn ze ook nog eens te lui om de correcte bron vermeldingen erbij te zetten of ze doen alsof het eigen journalistiek was. En dan komen weer een hele reeks aan zogenaamde experts aan de buis die niet eens chronologisch het verhaal goed kunnen uitleggen. Nog juiste termen gebruiken of corrigeren als andere digibeten domme conclussies trekken over situaties.

Zo was er eentje die beweerde dat het door Wiz enkel was ontdekt terwijl we weten dat eerst Calis het via een PHP expert met openbaar model heeft gevonden door te kijken naar oude meldingen van onder andere Stefan Esser in 2004. Andere beweerde dat PHP zelf te vroeg de informatie had uitgegeven. Dan was er weer een die bij de rol over Chainguard zei dat er enkel een stukje patching was vrijgegeven en dat het zelfs verstandig was om dat te doen. Andere media berichten dat om 16:00 uur de patch er zou zijn maar snapten geen reet ervan dat dat enkel PHP.net zelf is en dat bijna de helft van branch leunt op gespecialiseerde bedrijven om compatible code vrij te geven. En dan vervolgens talkshows die het hebben over dat het wel lang duurt dat die sites online komen en verontwaardigd erover klinken. En geen expert die hun corrigeert daarop. Wie denk je dat weer alle klanten mag overtuigen van wat wel en niet waar is. De gene die de boel repareren.


Over energie beter richten ik was sinds de dag ervoor al bezig met beveiliging ophogen en overleg met security partners. Ik heb eergister een algemene mail uitgestuurd met melding dat ze gebeld zouden worden en toen persoonlijk alle directies van onze klanten gebeld om situatie tijdens en ook na incident uit te leggen wat er speelde en nazorg te verrichten

Ik heb gister CloudLinux om reactie gevraagd waarom de f ze verkeerde release tijden gaven maar nog erger waarom ze eerst de oudste versies hadden gebackport en niet eerst de releases uitgaven van recente up to date PHP's waarmee je dus eigenlijk zegt je kan beter je shit niet op orde hebben want dan kom je sneller aan de beurt bij *betaalde diensten*

ik heb met mijn teams tot middernacht daardoor mogen patchen. En nu monitoren we op twee losse nieuwe gevallen naast alle NGINX, Node.js sht alsmede security audits van gehele netwerk om te zien of er niks anders bij is gekomen gezien aandacht puur gefocused was op PHP. Tegelijk zijn we het onderzoek aan het verleggen naar in kaart brengen hoeveel randapparatuur, datacom aparatuur bij klanten mogelijk nog met oude PHP code draait want we weten allemaal de sites is het zichtbare threat landscape maar PHP heeft wel een grotere gebruiksbasis dan enkel servers. Is niet onze verantwoordelijkheid maar 9/10 gaat daar niet over nadenken en dan zitten ze nog steeds in de problemen straks.

Je hoeft mij niet te vertellen dat ik mijn tijd beter kan besteden. Leg mij uit hoe ik zelf hier de boel heb geconstrueerd gezien ik een van de gene was die de puinzooi van andere mocht fixen terwijl de media in tussen bs zat te verkondigen of nog doet. Kunnen we teminste op inhoud argumenteren.

Kan je nu vertellen wat volgende plasje wordt nadat we zogenaamd braafste jongetje van de klas waren. Dat de reactie overtrokken was dat we helemaal niet offline hoefde, dat de exploit toch niet zo makkelijk was te implementeren. En ondertusen gaat iedereen vergeten dat we actie moesten baseren op vage informate maar wel van reputabele bronnen.

De enige les die ieder niet in het vak hieruit moet halen en dan doel ik op managers is "Luister naar de vakmensen"

Anoniem1057: Hear Hear! Hear hear!

Analyse
Hoe het PHP2Shell-lek uitmondde in een internetcrisis

door Anoniem, gepubliceerd op Security.NL 23 oktober 2026

Het afgelopen debacle met het PHP2Shell lek was geen kwetsbaarheid in WordPress, maar twee ernstige fouten in PHP zelf, de programmeertaal die op grote schaal aan de serverkant van websites wordt gebruikt. Daardoor kon een niet-ingelogde aanvaller onder bepaalde omstandigheden eigen code uitvoeren op een kwetsbare server. De fouten kregen elk een CVSS-score van 9,2 op een schaal van 0 tot 10. De brede inzet van PHP maakte en maakt de mogelijke impact uitzonderlijk groot: ook organisaties die niet wisten dat een product of dienst PHP bevatte, konden of kunnen nog kwetsbaar zijn.

De voorgeschiedenis. De technische kern van de problemen was niet nieuw. Eén van de zwakke plekken was volgens berichtgeving al eens in 2024 opgemerkt, maar een oplossing kwam niet tot stand. De PHP Foundation erkende dat het beveiligingsteam te weinig capaciteit had en intern geen overeenstemming bereikte over de juiste fix. Dat wijst op een structureel probleem: een klein, grotendeels afhankelijk van vrijwilligers en donaties opererend team beheert software die voor een groot deel van het web van belang is. De kwetsbaarheden bleven bovendien bestaan omdat ze lange tijd als moeilijk te misbruiken werden beschouwd. De vergelijking werd getrokken met het beruchte Log4j-lek in Apache in 2021, waaraan ook slechts een klein team werkte.

In augustus 2026 ontdekte beveiligingsbedrijf Calif de fouten in PHP tijdens een project om kritieke software te onderzoeken. Daarbij werd AI ingezet als hulpmiddel; dat maakt de ontdekking niet automatisch “door AI gedaan”, maar onderstreept wel dat nieuwe analysetools oude aannames over de praktische exploiteerbaarheid van bugs kunnen doorbreken. De PHP-beheerders bereidden een beveiligingsupdate voor, aanvankelijk met een geplande publicatie later in de week. De oplossing liet echter op zich wachten. Op 20 oktober lekte informatie over de aanstaande patch voortijdig uit en verspreidde die zich online. Een voortijdig gepubliceerde video en het doorbreken van een embargo door Chainguard vergrootten de hoeveelheid bruikbare informatie voor aanvallers. De PHP-projectleiding haalde de voorpublicatie over het probleem daarom naar voren.

In de nacht en ochtend van woensdag 21 oktober verschenen uitgelekte screenshots met details over de kwetsbaarheden op sociale media. Daarmee ontstond een gevaarlijk tijdsvenster: aanvallers konden naar kwetsbare systemen zoeken terwijl veel beheerders nog van niets wisten of nog geen patch ter beschikking hadden. De twee fouten betroffen onveilige toestanden in PHP’s geheugen- en verzoekafhandeling. Bij de ene kon een geheugentekort de verwerking onderbreken, terwijl verzoekgegevens nog niet volledig waren geïnitialiseerd; bij de andere kon verouderde interne toestand na een fout achterblijven en later door een worker opnieuw worden gebruikt. Zulke fouten kunnen leiden tot een RCE-aanval, de uitvoering van aanvallerscode vanaf een afstand, en in bepaalde omstandigheden ook tot blootstelling van gegevens uit het werkgeheugen.

De PHP-updates verschenen op woensdag 21 oktober, nog voor 16:00 uur Nederlandse tijd. Toch was patchen niet onmiddellijk voor iedereen haalbaar: veel organisaties moesten eerst vaststellen waar PHP draaide, ook in onderliggende producten en hostingomgevingen, en vervolgens de juiste versie te installeren en de processen herstarten. Omdat op dat moment exploitinformatie circuleerde en een betrouwbare tijdelijke blokkade ontbrak, kozen veel beheerders ervoor hun websites of interactieve functies preventief uit te schakelen. In Nederland gingen onder meer overheidsdiensten, nieuwssites en websites van zorgorganisaties tijdelijk offline. CERT-EU adviseerde organisaties direct te patchen en, als dat niet kon, internetgerichte toepassingen af te schermen of geheel uit te schakelen.

De nasleep. Het offline halen was ingrijpend, maar voorkwam dat kwetsbare diensten bereikbaar bleven terwijl de situatie onzeker was. Ook een digitaal medicatiesysteem voor de ziekenzorg en verpleeghuizen werd uit voorzorg uitgeschakeld; volgens de berichtgeving konden zorgverleners terugvallen op backupsystemen. Op 22 oktober kwamen veel websites weer online nadat ze waren bijgewerkt. Het NCSC meldde toen nog geen aanwijzingen voor actief misbruik, al was verhoogd zoekverkeer zichtbaar. Tegelijk ontstond twijfel over de volledigheid van de eerste patch, nadat onderzoekers mogelijke nieuwe problemen signaleerden; die meldingen waren op dat moment nog geen bevestiging van een succesvolle aanval via de patch. Inmiddels is duidelijk dat het PHP2shell lek wereldwijd door criminelen wordt misbruikt.

De belangrijkste les is dus niet alleen dat een ernstige bug lang onopgelost bleef. De crisis ontstond door de combinatie van kwetsbare fundamentele software, beperkte onderhoudscapaciteit, een mislukte coördinatie rond de openbaarmaking, het doorbreken van het embargo, en de grote afhankelijkheid van PHP in uiteenlopende systemen. Een centrale patch lost het probleem vooralsnog technisch op, maar niet meteen organisatorisch: beheerders moeten ook eventuele verborgen PHP-installaties vinden, oudere niet-ondersteunde versies aanpakken en nagaan of systemen vóór het bijwerken zijn geraakt.


Geraadpleegde bronnen

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

https://www.security.nl/posting/958403/PHP+publiceert+patches+voor+kritieke+kwetsbaarheden

https://cert.europa.eu/publications/security-advisories/2026-018/

Welnee man. Kijk in je eigen nginx.conf file. Draait als nginx user en die mag bijna niks door ook selinux policies. Vandaar dfat er geen servers worden versleuteld zoals onder windows.

Jokkebrok. standaard is nginx user. Linux != windows

Ik reageerde op wat je in je vorige post schreef, niet op alles wat je nu vertelt dat je daar had weggelaten, ik ben niet telepathisch. En ik heb al uitgelegd wat je had geconstrueerd. Als dat je werkelijk interesseert moet je misschien je eigen eerdere post eens rustig teruglezen en even tot je laten doordringen waar ik op reageerde. Dat was niet op wat je nog niet geschreven had, maar op wat je wel geschreven had.

Het was niet mijn bedoeling om iemand die zich uit de naad heeft gewerkt een trap na te geven. Maar als je de stress daarvan afreageert door vrij opgefokt op een publieke website te gaan kankeren op een krant met algemeen nieuws alsof je daar dezelfde diepgang van verwacht als van een beter in het onderwerp gespecialiseerd nieuwsmedium, kijk dan niet raar op als precies dat is waar je een reactie op krijgt.

Een tijdje geleden was in het nieuws dat DigiD door een Amerikaanse partij overgenomen zou worden. Kan iemand mij vertellen of die net zo snel gereageerd hadden?

Arjen LUBACH over de regiobait van het Algemeen Dagblad :-)

AD: "[Meer|Minder] mensen [in|op] [naam willekeurige gemeente] zijn lid van de bibliotheek dan een paar jaar geleden"

https://www.rtl.nl/tv/fragmenten/video/b982aca5-1de8-464a-8daf-326f667ad7f2/lubach-over-de-regiobait-van-het-ad