Aanvallers maken misbruik van de PHP2Shell-lekken waarvoor vorige week patches verschenen, zo waarschuwt het Amerikaanse cyberagentschap CISA. Details over deze aanvallen zijn niet gegeven. Wel heeft het CISA Amerikaanse overheidsinstanties opgedragen om de twee PHP-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) binnen drie dagen te patchen. Daarnaast moeten overheidsinstanties onderzoeken of hun systemen niet al zijn gecompromitteerd. Via de kwetsbaarheden kan een ongeauthenticeerde aanvaller code op kwetsbare systemen uitvoeren.
Kort na het uitkomen van de PHP2Shell-kwetsbaarheden rapporteerden cybersecuritybedrijven dat ze allerlei aanvallen hadden waargenomen, maar die bleken bij nader onderzoek vooral 'AI slop' te zijn en niet goed te werken. Volgens onderzoekers is het lastig om eenvoudig een succesvolle exploit te ontwikkelen. Misbruik vereist namelijk dat de aanvaller de geheugenadressen weet te achterhalen die meestal door ASLR zijn beveiligd.
Een aanvaller moet voor een succesvolle exploit dan ook ASLR weten te omzeilen. Address space layout randomization (ASLR) is een techniek die het lastiger maakt voor een aanvaller om te voorspellen waar in het geheugen bepaalde delen van programma's worden geladen. Dit moet het uitbuiten van kwetsbaarheden in applicaties veel lastiger maken.
"Verder onderzoek laat zien dat het misbruiken van deze kwetsbaarheden ingewikkeld is en de kans op grootschalig misbruik kleiner dan eerder werd ingeschat", zo stelt het Nationaal Cyber Security Centrum (NCSC). "Op dit moment is bij ons één melding bekend van mogelijk misbruik in het buitenland, maar is niet bevestigd dat de aanval ook daadwerkelijk succesvol is geweest", aldus de laatste update in het beveiligingsbulletin van het NCSC.
The Shadowserver Foundation is een stichting die onderzoek doet naar kwetsbare systemen op internet en geregeld scans uitvoert zodra een grote kwetsbaarheid bekend wordt. In het geval van de PHP2Shell-lekken heeft de stichting nog geen scan uitgevoerd. Wel werd er een scan naar PHP-installaties gedaan die een end-of-life versie van de programmeertaal draaien. Wereldwijd gaat het om honderdduizenden installaties die een PHP-versie draaien die niet meer met patches worden ondersteund. In Nederland werden om bijna 20.000 installaties geteld. Het werkelijke aantal ligt mogelijk hoger, omdat de meeste PHP-installaties niet hun versie vermelden.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Wil jij richting geven aan informatie-veiligheid binnen twee gemeenten die digitaal volop in ontwikkeling zijn? Zoek je een rol waarin strategie, beleid en samenwerking samenkomen? Dan ma-ken we graag kennis met je.
