Opensourceprojecten moeten meer geld krijgen voor het vinden en verhelpen van kwetsbaarheden, zo vindt de Amerikaanse burgerrechtenbeweging EFF in een reactie op de vorige week aangekondigde PHP-lekken genaamd PHP2Shell. Het aantal gevonden kwetsbaarheden in software, waaronder ook veel opensourceprojecten, is de afgelopen maanden explosief gestegen.
Het Common Vulnerabilities and Exposures (CVE)-systeem van de MITRE organisatie wordt wereldwijd gebruikt voor het rapporteren en identificeren van kwetsbaarheden. CVE-nummers worden onder andere bijgehouden in de National Vulnerability Database (NVD). De database telt inmiddels zo'n 400.000 CVE-nummers die sinds 1999 zijn uitgegeven. Deze maand zijn 13.000 nieuwe CVE-nummers ingediend. "Dit houdt in dat drie procent van de gerapporteerde kwetsbaarheden alleen al in deze maand is gevonden", aldus de EFF.
Het is de verwachting dat dit aantal nog verder zal toenemen en dat meer dan kwart van alle gerapporteerde kwetsbaarheden ooit in 2026 zal zijn gevonden. De toename van het aantal gevonden kwetsbaarheden komt door de inzet van AI-modellen, die erg goed blijken te zijn in het vinden van bepaalde klassen kwetsbaarheden. De PHP2Shell-lekken werden mede met behulp van AI gevonden.
Het internet draait grotendeels op opensourcesoftware, vooral beheerd door een handvol vrijwilligers die af te een toe een kleine bijdrage ontvangen. Het gaat dan bijvoorbeeld om de projecten PHP, OpenSSL en SQLite. Volgens de EFF worden de maintainers van deze opensourceprojecten op dit moment overweldigd met een stortvloed aan bugmeldingen, wat kan leiden tot burn-outs.
De EFF pleit dan ook voor meer geld voor opensourceprojecten. "Opensourceprojecten zoals PHP en andere zijn de ruggengraat van het internet. Als ze niet de benodigde middelen krijgen, is er het risico dat ze, en het internet dat van ze afhankelijk is, uit elkaar vallen." De burgerrechtenbeweging stelt dat bedrijven, waarvan de producten niet zonder opensourceprojecten kunnen bestaan, actief aan het onderhoud moeten gaan bijdragen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Functionaris Gegevensbescherming (FG)
Wil jij met jouw privacykennis impact maken op de zorg? Je adviseert ruim 150 zorgorganisaties over privacy, gegevens bescherming en de verantwoorde inzet van data en AI. Je werkt aan regionale vraagstukken, schakelt met bestuurders en experts en krijgt volop ruimte voor ontwikkeling, opleiding en flexibiliteit.
Chief Information Security Officer
Wil jij richting geven aan informatie-veiligheid binnen twee gemeenten die digitaal volop in ontwikkeling zijn? Zoek je een rol waarin strategie, beleid en samenwerking samenkomen? Dan ma-ken we graag kennis met je.
