De noodupdates voor de twee kritieke lekken in PHP kwamen woensdag 21 oktober uit, maar voor sommige servers was dat al te laat. Amazon Web Services (AWS) ontdekte dat iemand de lekken al op 17 oktober probeerde te misbruiken, vier dagen voordat ze openbaar werden. Dat meldt WIRED op basis van onderzoek dat AWS woensdagavond publiceerde.

Gevonden in een lokserver

AWS kwam de vroege aanval op het spoor bij het terugkijken van de activiteit op een zogeheten honeypot: een bewust kwetsbare server die dient als lokaas om aanvallers te bestuderen. De aanvalspoging kwam van een IP-adres dat hoort bij een commercieel anonimiseringsnetwerk, zoals een proxy- of VPN-dienst. Wie erachter zit, is niet bekend.

Volgens CJ Moses, beveiligingsbaas van AWS, wijst het gebruik van zo'n afgeschermd adres op een kwaadwillende partij. Hoe die al aan informatie over de lekken kwam terwijl die nog onder embargo waren, is volgens hem onduidelijk.

Nu op grote schaal misbruikt

In de uren voor de openbaarmaking, woensdag om 16.00 uur Nederlandse tijd, zagen de lokservers van AWS meerdere aanvalspogingen via verschillende anonimiseringsdiensten. Dat wijst volgens AWS op meerdere aanvallers met verschillende doelen. Ook doken er al voor de officiële bekendmaking voorbeeldaanvallen (proof-of-concepts) op internet op. Of de vroege pogingen in de praktijk zijn gelukt, wordt nog onderzocht. Wel stelt Moses dat PHP2Shell, zoals de twee lekken samen heten, nu op grote schaal wordt misbruikt.

Update 23 oktober: De PHP Foundation reageert inmiddels op het onderzoek. Directeur Elizabeth Barron laat aan WIRED weten dat de stichting vooraf niet op de hoogte was van de bevindingen van AWS. Updaten is volgens haar "absoluut noodzakelijk", maar voor zover de stichting weet is er nog geen geslaagde poging geweest om via de lekken op afstand code uit te voeren. Daarmee staan er twee lezingen naast elkaar: AWS ziet volop aanvalspogingen, de PHP Foundation kent nog geen geslaagde overname.

AI verkort de tijd tussen patch en aanval

Het verhaal heeft een AI-kant aan twee kanten. Een van de twee lekken werd gevonden met een AI-model van OpenAI, zoals we eerder schreven in ons bericht over het PHP-lek waardoor DigiD en MijnOverheid offline gingen. Maar AWS waarschuwt dat AI ook aanvallers helpt. Met AI-hulp is het goedkoper geworden om uit een beveiligingsupdate of advies af te leiden hoe je een lek misbruikt.

Vroeger wachtten de meeste aanvallers tot een handvol kundige partijen een werkende aanval had gebouwd. Die afhankelijkheid wordt volgens Moses kleiner: meer partijen kunnen binnen uren of zelfs minuten na een bekendmaking toeslaan. AWS pleit er daarom voor dat het gecoördineerd melden en repareren van lekken sneller moet.

Wat dit voor Nederlandse sites betekent

De keuze van overheidsdiensten als DigiD en MijnOverheid en van hostingbedrijven om sites woensdag uit voorzorg offline te halen, krijgt hiermee achteraf extra gewicht. Wie een eigen server of website op PHP heeft, moet ervan uitgaan dat er al aanvallen rondgaan. Updaten naar een gerepareerde PHP-versie blijft de enige echte oplossing. Twijfel je of je server al vóór de update is aangevallen? Laat dan de logbestanden en de server controleren, want een update haalt een eventuele indringer niet weg.

Ook TechCrunch en The Verge beschreven de wereldwijde onrust rond de lekken.