Eerder vandaag werd er op MacFreak al gemeld dat er problemen zijn met websites die op PHP draaien, wij waren daar ook al op de hoogte.

We hebben vanochtend al contact gehad met onze provider, die houden het scherp in de gaten en er wordt sowieso ieder uur een backup gemaakt.

Mocht onze inschatting veranderen, dan zetten we MacFreak natuurlijk alsnog offline.

Wat uitleg:

Dat moet dan een superprovider zijn. De rest van Nederland met PHP gaat namelijk uit voorzorg wel offline...

Wat uitleg voor wie gewoon wil lezen:

Wat is er aan de hand?
PHP is een veelzijdige scriptingtaal die dynamische webpagina's kan aanmaken. 69,3 procent van alle websites wereldwijd gebruikt die scriptingtaal. PHP vormt de basis voor het veelgebruikte WordPress en zit ook in Joomla, Drupal, Magento en andere websoftware.

De PHP-ontwikkelaars waren van plan hun patches donderdag uit te brengen, maar informatie over de kwetsbaarheden lekte afgelopen nacht uit. Het ontwikkelteam komt om 16.00 uur met meer informatie en verwacht dan ook de patches uit te brengen. Online gaan tips rond over beperkende maatregelen, maar die lijken onvoldoende bescherming te bieden. Naast Tweakers zijn onder meer RTL Nieuws, Mijnoverheid.nl, DigiD en de website van de Tweede Kamer uit voorzorg offline gegaan.

Websites overnemen
De twee kritieke kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619) hebben een score van 9,2 op de CVSS v4.0-schaal, die tot 10 gaat. Dat hoge cijfer is gebaseerd op de ernst van een kwetsbaarheid en op hoe makkelijk aanvallers die kunnen misbruiken. De kwetsbaarheden zouden al sinds versie 5.4.0 in PHP zitten, die in maart 2012 uitkwam. Aanvallers kunnen door de kwetsbaarheden eigen webpagina's publiceren. Daardoor kunnen zij mogelijk malware verspreiden. Daarnaast zou de zogeheten PHP2Shell-exploit het mogelijk maken om eigen code uit te voeren op kwetsbare servers.

Linkjes:
nos artikel, nos blog, wikipedia met links naar cve's, advies ncsc (via rijksoverheid, want ze zijn zelf plat.

https://tweakers.net/

De verwachte patches zijn voor PHP 8.2 tot en met 8.5. Die versies krijgen nog ondersteuning. Oudere versies, die dus ook kwetsbaar zijn, krijgen officieel geen patches meer. Versie 8.1 is sinds januari dit jaar end-of-life en versie 8.0 sinds eind 2023.

Gebruikers van oudere versies krijgen normaal gesproken al het advies om zo snel mogelijk te upgraden, omdat zij anders kwetsbaar blijven voor ongepatchte kwetsbaarheden. Het is niet zeker of deze oudere versies echt geen patches ontvangen voor deze kritieke kwetsbaarheden.

Welke PHP versie gebruikt macfreak?




SMF version:

Forum
SMF 2.0.19 | SMF © 2017, Simple Machines

Hmm, daar was ik al bang voor.
Misschien de komende dagen op versneld tempo gaan kijken of we over kunnen naar de nieuwere versie van SMF.

Maar diezelfde overgang kostte de vorige keer een paar maanden tijd, dus heb er even een hard hoofd in.

Aan de andere kant, MacFreak heeft nog tijden op versie 2.0.17 van SMF gedraaid (inmiddels zitten we al een tijd weer op 2.0.19), terwijl daar ook een paar bekende gaten in zaten.

Met andere woorden, we lijken niet zo heel erg interessant voor de dames en heren hackers...

Met andere woorden, we lijken niet zo heel erg interessant voor de dames en heren hackers...

Toen het nog dames en heren waren, de goeie oude tijd. Het is even afwachten wat de AI Agents gaan doen.

Berichtje van Onyx Security:

Op basis van recentere berichtgeving blijkt dat deze situatie is veranderd. Er wordt melding gemaakt van een toenemend aantal misbruikpogingen gericht op deze kwetsbaarheden. Daarnaast zijn er inmiddels meerdere proof-of-concepts beschikbaar.
Hierdoor is de urgentie om uw PHP-omgevingen te beveiligen verder toegenomen. Het eerder gegeven advies om applicaties tijdelijk niet publiekelijk benaderbaar te maken, weegt daarmee zwaarder. We zien dat verschillende organisaties er uit voorzorg voor kiezen hun applicaties tijdelijk af te schermen in afwachting van de beschikbare beveiligingsupdates.

Ons dringende advies is om alle PHP-applicaties die publiekelijk via het internet bereikbaar zijn, zowel eigen applicaties als applicaties van derde partijen, waar mogelijk tijdelijk af te schermen totdat de benodigde beveiligingsupdates zijn geïnstalleerd.

Maar goed, je geeft zelf al aan dat updaten niet a la minuut voor mekaar is. Doe me een plezier en installeer voor of op je server(s) crowdsec.

Bij de weg: SMF zelf is ook offline.

Bij CNN is het nog geen Breaking News....






Bij de BBC eerst ook niks, maar sinds 1 uur:
Websites taken down across Europe ahead of critical cyber-security update

PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 are out

Maar goed, je geeft zelf al aan dat updaten niet a la minuut voor mekaar is. Doe me een plezier en installeer voor of op je server(s) crowdsec.

Zoals al vermeld, we zitten bij een grote provider, en die lijkt de vinger niet alleen goed aan de pols te hebben, daar wordt ook (automatisch en standaard) ieder uur een backup gemaakt.

Een backup is handig voor als je data kwijt of corrupt raakt. Maar helpt je niet tegen hackers. Ze hoeven namelijk niet gelijk iets te doen wat jou triggert om een restore te doen. Ze kunnen prima binnenkomen, zorgen dat ze binnen kunnen blijven en dan lekker een paar maanden rustig afwachten.

Over je provider: deze hanteert net als alle Cloud Providers het zogenaamde shared-responsibility model en is kort door de bocht alleen verantwoordelijk voor hun hardware en cloud software. Je bent zelf verantwoordelijk voor de beveiliging van je VM, software en data.

Maar goed: Succes...

Er wordt fink gezweet her en der:
https://www.nu.nl/tech/6413897/live-php-belangrijke-veiligheidsupdate-is-live-ook-problemen-in-buitenland.html

Misschien moet je provider tijdelijk 'session.upload_progress.enabled = Off' instellen om de exploitatie van het lek zoveel mogelijk te beperken. Vielleicht.

Tweakers is weer online en meldt dat de PHP patches beschikbaar zijn.

https://tweakers.net/nieuws/253592/php-dicht-twee-kritieke-lekken-nadat-wereldwijd-websites-offline-werden-gehaald.html

https://tweakers.net/downloads/78716/php-8235-8336-8427-8512.html

Het is inmiddels wel goed doorgedrongen dat het belangrijk is dat MacFreak naar een nieuwere versie van SMF gaat (en daardoor dus ook naar een nieuwere versie van PHP).

Maar zoals eerder geschreven, daar zal zeker wel even overheen gaan, want we hebben indertijd heel erg veel werk gestoken in MacFreak krijgen zoals het nu is... 

Maar zoals eerder geschreven, daar zal zeker wel even overheen gaan, want we hebben indertijd heel erg veel werk gestoken in MacFreak krijgen zoals het nu is... 

Wellicht is de stap kleiner van 2.0 naar 2.1 dan de vorige upgrade die jullie hebben uitgevoerd?