Door: Hidde Sirag

Site van bibliohteek Forum die niet bereikbaar is. Foto: Hidde Sirag

Door een beveiligingslek bij programmeertaal PHP gingen een groot aantal websites woensdag op zwart. Een dag later gaan in Groningen veel websites en diensten langzaamaan weer online en kan de schade opgemaakt worden.

Toch waren donderdag een aantal websites nog steeds niet bereikbaar. De website van fine dining restaurant Voilà is één van de websites die een dag na het PHP-lek nog steeds niet online stonden. Ook de website van het Franse fine dining restaurant Vive la Vie in het centrum was gistermiddag nog niet bereikbaar. Later op de dag kwamen beide websites wel weer online.

Hans Parmentier (53) werkt in de keuken van Voilà, een relatief jonge onderneming aan de W.A. Scholtenstraat. Ze hebben het oude restaurant onder dezelfde naam overgenomen en zijn in april dit jaar officieel geopend. De zaken gaan goed, zegt Parmentier, maar “mensen zijn zuiniger op hun centen.”

Door de problemen met de website konden geïnteresseerde klanten een dag lang geen online reserveringen maken. Voor Parmentier is het vervelend dat mensen het restaurant hierdoor niet konden bereiken, maar volgens hem is het probleem niet onoverkomelijk. “Vroeger lukte het ook gewoon zonder internet.” Er zijn gelukkig genoeg manieren om mensen op de hoogte te stellen van het probleem, stelt Parmentier. “Ik zag andere bedrijven al communiceren via sociale media.”

Onlinediensten universiteit getroffen

De kwetsbaarheden van de programmeertaal PHP troffen ook veel van de onlinediensten van de universiteit. Dat vertelt Aukje Rohan (37), medewerker bij de facility desk van de universiteitsbibliotheek. Zo werd de UB-app en website uit voorzorg offline gehaald, waardoor studenten geen reserveringen konden maken. Studenten konden daarnaast geen nieuwe studentenpas aanvragen. De printdienst van de universiteit was ook een dag lang niet beschikbaar, wat tijdens de drukke tentamenperiode tot de nodige problemen leidde.

Het geeft aan hoe afhankelijk veel organisaties zijn van technische diensten, zegt Aukje. “Alles systemen staan online.” Maar wat is PHP, de boosdoener, die in een dag zo veel organisaties en technische systemen wist te ontregelen?

Personal Home Page

PHP, oorspronkelijk een afkorting voor Personal Home Page, werd in 1994 ontworpen door de Deens-Canadese programmeur Rasmus Lerdorf. Tegenwoordig staat het voor een afkorting met de originele naam als onderdeel, PHP: Hypertext Preprocessor. Het is een eenvoudige programmeertaal voor algemeen gebruik. De taal is gratis te gebruiken, wat ook verklaart waarom het zo populair is geworden. Iedereen kan het gebruiken om dynamische webpagina’s te ontwikkelen. Vooral websites die webformulieren aanbieden gebruiken de functies van PHP.  Naar schattingen draait zo’n 69,3% van alle websites wereldwijd op PHP. Daarnaast is het de standaard programmeertaal van WordPress, waar 40% van alle websites op werken, waaronder ook de website van Tot de Max.

IT-onderzoeker Johan van der Geest (38), heeft in zijn ‘jeugdige jaren’ veel gebruik gemaakt van PHP. Hij maakte toen voor spellen websites en internetfora met zijn vrienden. “Je hebt wel wat IT-ervaring nodig, maar het is een hele toegankelijke taal.” Zelf liep hij ook al tegen een paar problemen aan. “Tweakers.net lag eruit, en ook mijn bibliotheek app.” De online catalogus van de bibliotheek in het Forum is, onderhand twee dagen na het lek, nog steeds niet bruikbaar.

Patch the Planet

De gaten in het systeem zijn ontdekt door het Patch the Planet project, een samenwerking tussen AI-ontwikkelaar OpenAI, cloudbeveiligingsbedrijf Wiz en de ethische hackers van Calif. Zij identificeerden PHP als een kwetsbaar doelwit. Vervolgens ging Calif met behulp van de AI-modellen van OpenAI aan de slag om kwetsbaarheden te vinden, die zij vervolgens met PHP deelden. Ze vonden een oude fout in de code, die al in 2004 door computerbeveiligingsonderzoeker Stefan Esser werd ontdekt. Toen werd er niets mee gedaan.  In 2024 werd dezelfde fout opnieuw ontdekt, maar omdat er nog geen bewijs was van uitbuiting van de fout, werd er besloten het lek niet te dichten.

De vondst van Calif werd met PHP gedeeld, zodat zij intern aan een update konden werken om hun programmeertaal beter te beschermen tegen inbraken. Dat deze update eraan zat te komen werd echter vroegtijdig gelekt, waardoor de kennis van de twee kritieke kwetsbaarheden bekend werden. De ontwikkelaars van PHP zagen zich daardoor genoodzaakt de update, die voor donderdag gepland stond, een dag eerder uit te brengen.

Van der Geest ziet dat AI steeds meer gebruikt wordt om kwetsbaarheden in systemen op te sporen, in dit geval om de programmeertaal te verbeteren. Het risico dat het voor criminele doeleinden gebruikt wordt neemt daarentegen ook toe. “Veel AI-modellen worden daarom ook niet publiekelijk vrijgegeven, omdat het gevaarlijk kan zijn.” Bedrijven deden er daarom goed aan om zo snel mogelijk de stekker eruit te trekken denkt hij. “Als ze niet snel patchen zijn ze erg kwetsbaar.”

Toch waren donderdag een aantal websites nog steeds niet bereikbaar. De website van fine dining restaurant Voilà is één van de websites die een dag na het PHP-lek nog steeds niet online stonden. Ook de website van het Franse fine dining restaurant Vive la Vie in het centrum was gistermiddag nog niet bereikbaar. Later op de dag kwamen beide websites wel weer online.

Hans Parmentier (53) werkt in de keuken van Voilà, een relatief jonge onderneming aan de W.A. Scholtenstraat. Ze hebben het oude restaurant onder dezelfde naam overgenomen en zijn in april dit jaar officieel geopend. De zaken gaan goed, zegt Parmentier, maar “mensen zijn zuiniger op hun centen.”

Door de problemen met de website konden geïnteresseerde klanten een dag lang geen online reserveringen maken. Voor Parmentier is het vervelend dat mensen het restaurant hierdoor niet konden bereiken, maar volgens hem is het probleem niet onoverkomelijk. “Vroeger lukte het ook gewoon zonder internet.” Er zijn gelukkig genoeg manieren om mensen op de hoogte te stellen van het probleem, stelt Parmentier. “Ik zag andere bedrijven al communiceren via sociale media.”

Onlinediensten universiteit getroffen

De kwetsbaarheden van de programmeertaal PHP troffen ook veel van de onlinediensten van de universiteit. Dat vertelt Aukje Rohan (37), medewerker bij de facility desk van de universiteitsbibliotheek. Zo werd de UB-app en website uit voorzorg offline gehaald, waardoor studenten geen reserveringen konden maken. Studenten konden daarnaast geen nieuwe studentenpas aanvragen. De printdienst van de universiteit was ook een dag lang niet beschikbaar, wat tijdens de drukke tentamenperiode tot de nodige problemen leidde.

Het geeft aan hoe afhankelijk veel organisaties zijn van technische diensten, zegt Aukje. “Alles systemen staan online.” Maar wat is PHP, de boosdoener, die in een dag zo veel organisaties en technische systemen wist te ontregelen?

Personal Home Page

PHP, oorspronkelijk een afkorting voor Personal Home Page, werd in 1994 ontworpen door de Deens-Canadese programmeur Rasmus Lerdorf. Tegenwoordig staat het voor een afkorting met de originele naam als onderdeel, PHP: Hypertext Preprocessor. Het is een eenvoudige programmeertaal voor algemeen gebruik. De taal is gratis te gebruiken, wat ook verklaart waarom het zo populair is geworden. Iedereen kan het gebruiken om dynamische webpagina’s te ontwikkelen. Vooral websites die webformulieren aanbieden gebruiken de functies van PHP.  Naar schattingen draait zo’n 69,3% van alle websites wereldwijd op PHP. Daarnaast is het de standaard programmeertaal van WordPress, waar 40% van alle websites op werken, waaronder ook de website van Tot de Max.

IT-onderzoeker Johan van der Geest (38), heeft in zijn ‘jeugdige jaren’ veel gebruik gemaakt van PHP. Hij maakte toen voor spellen websites en internetfora met zijn vrienden. “Je hebt wel wat IT-ervaring nodig, maar het is een hele toegankelijke taal.” Zelf liep hij ook al tegen een paar problemen aan. “Tweakers.net lag eruit, en ook mijn bibliotheek app.” De online catalogus van de bibliotheek in het Forum is, onderhand twee dagen na het lek, nog steeds niet bruikbaar.

Patch the Planet

De gaten in het systeem zijn ontdekt door het Patch the Planet project, een samenwerking tussen AI-ontwikkelaar OpenAI, cloudbeveiligingsbedrijf Wiz en de ethische hackers van Calif. Zij identificeerden PHP als een kwetsbaar doelwit. Vervolgens ging Calif met behulp van de AI-modellen van OpenAI aan de slag om kwetsbaarheden te vinden, die zij vervolgens met PHP deelden. Ze vonden een oude fout in de code, die al in 2004 door computerbeveiligingsonderzoeker Stefan Esser werd ontdekt. Toen werd er niets mee gedaan.  In 2024 werd dezelfde fout opnieuw ontdekt, maar omdat er nog geen bewijs was van uitbuiting van de fout, werd er besloten het lek niet te dichten.

De vondst van Calif werd met PHP gedeeld, zodat zij intern aan een update konden werken om hun programmeertaal beter te beschermen tegen inbraken. Dat deze update eraan zat te komen werd echter vroegtijdig gelekt, waardoor de kennis van de twee kritieke kwetsbaarheden bekend werden. De ontwikkelaars van PHP zagen zich daardoor genoodzaakt de update, die voor donderdag gepland stond, een dag eerder uit te brengen.

Van der Geest ziet dat AI steeds meer gebruikt wordt om kwetsbaarheden in systemen op te sporen, in dit geval om de programmeertaal te verbeteren. Het risico dat het voor criminele doeleinden gebruikt wordt neemt daarentegen ook toe. “Veel AI-modellen worden daarom ook niet publiekelijk vrijgegeven, omdat het gevaarlijk kan zijn.” Bedrijven deden er daarom goed aan om zo snel mogelijk de stekker eruit te trekken denkt hij. “Als ze niet snel patchen zijn ze erg kwetsbaar.”