NCSC ziet nog geen misbruik van PHP-lekken, experts vrezen maandenlange gevolgen

Dat zei NCSC-directeur Matthijs van Amelsfort woensdagavond in het televisieprogramma Pauw & De Wit. Cybersecurity-experts waarschuwen ondertussen dat de gevolgen van de beveiligingslekken nog maanden merkbaar kunnen zijn. Vooral systemen die niet tijdig worden bijgewerkt, blijven een aantrekkelijk doelwit voor hackers.

Volgens Van Amelsfort ziet het NCSC wel een toename van het online verkeer, wat erop wijst dat er actief wordt gezocht naar websites die mogelijk nog kwetsbaar zijn. De ontdekking van de beveiligingslekken leidde woensdag tot het tijdelijk offline halen van tal van websites, waaronder die van gemeenten en andere overheidsorganisaties. Ook de websites van Binnenlands Bestuur en iBestuur waren enkele uren niet bereikbaar. Organisaties namen deze maatregel uit voorzorg om te voorkomen dat aanvallers misbruik konden maken van de kwetsbaarheden.

Rond 16.00 uur kwamen beveiligingsupdates beschikbaar waarmee de kwetsbaarheden konden worden verholpen. Verschillende organisaties brachten hun websites vervolgens weer online. Het NCSC benadrukt dat organisaties zo snel mogelijk moeten controleren of hun systemen kwetsbaar zijn en de beschikbare updates moeten installeren.

Risico op eerdere inbraken

Volgens verschillende cybersecurity-experts betekent het installeren van een beveiligingsupdate echter niet automatisch dat een systeem weer veilig is. Wereldwijd zullen naar verwachting nog veel systemen kwetsbaar blijven, onder meer doordat organisaties niet onmiddellijk updaten of gebruikmaken van verouderde PHP-versies waarvoor geen officiële beveiligingsupdates meer worden uitgebracht. Hackers kunnen de komende tijd blijven zoeken naar systemen waarop de kwetsbaarheden nog aanwezig zijn.

‘Een patch dicht het lek, maar maakt een eerdere inbraak niet ongedaan’, zegt ethisch hacker Wouter van Dongen tegen het ANP. Volgens hem bestaat bovendien het risico dat aanvallers al een achterdeur hebben geplaatst. ‘Daarmee kunnen ze later opnieuw toegang krijgen, zelfs als de kwetsbaarheid inmiddels is verholpen.’

Ook Richard Verbeek van IT-dienstverlener Fellowmind waarschuwt dat organisaties niet uitsluitend moeten vertrouwen op het installeren van de update. Ze moeten volgens hem eerst controleren of aanvallers mogelijk al toegang hebben gekregen tot hun systemen. ‘Juist daar zit het gevaar: bedrijven die opgelucht hun website weer aanzetten zonder te weten of hun gegevens en achterliggende systemen veilig zijn.’

Gevolgen mogelijk pas later zichtbaar

Gert Heiremans, hoofd technologie en veiligheid bij de Belgische identificatieapp itsme, verwacht dat de kwetsbaarheden nog lange tijd gevolgen zullen hebben. ‘De komende dagen, weken en maanden gaan we hier nog wel van horen’, zegt hij tegen het ANP. Wanneer hackers gegevens hebben buitgemaakt, of dat de komende tijd alsnog doen, kan het volgens hem bovendien enige tijd duren voordat organisaties ontdekken dat hun systemen zijn gecompromitteerd.

De grote vraag naar beveiligingsupdates levert volgens de geraadpleegde cyberexperts overigens geen problemen op. Zij verwachten niet dat het massaal downloaden van de PHP-patches tot overbelasting leidt.

Hoewel het NCSC vooralsnog geen actief misbruik heeft vastgesteld, blijft waakzaamheid volgens de experts noodzakelijk. Het beschikbaar komen van de updates neemt het risico voor systemen die nog niet zijn bijgewerkt niet weg. Bovendien moeten organisaties rekening houden met de mogelijkheid dat eventuele eerdere inbraken pas op een later moment aan het licht komen.