Een PHP kwetsbaarheid met grote impact is geen uitzondering meer. Volgens minister Van Weel van Justitie en Veiligheid zullen kwetsbaarheden zoals de recente PHP2Shell-lekken in PHP in de toekomst vaker voorkomen. Hij zei dit tijdens een wetgevingsoverleg in de Tweede Kamer.
JA21-Kamerlid Van den Berg vroeg hoe de monitoring van kwetsbaarheden is geregeld. Waarom is er sinds 23 oktober geen nieuwe openbare update over het PHP-lek verschenen? En hoe worden overheidsorganisaties tijdig geïnformeerd over nieuwe dreigingen?
Volgens de minister is dit ‘inherent aan software’. Hij wees ook naar AI, die het eenvoudiger maakt om kwetsbaarheden te vinden en te misbruiken. Daarom is meer snelheid nodig. Je kunt het je volgens hem niet meer permitteren om weken te wachten met een patch, een update die de kwetsbaarheid verhelpt.
Bij het PHP2Shell lek kwam de kwetsbaarheid naar buiten voordat de patch er was. Dat vroeg volgens Van Weel om acute actie. Het Nationaal Cyber Security Centrum (NCSC) stuurde doelgroepenberichten en adviseerde organisaties om te kijken of hun website offline moest. Een heleboel organisaties deden dat, ook het NCSC zelf. Het NCSC zette een statische website neer met de informatie die mensen nodig konden hebben.
Nadat de patch verscheen, was het NCSC vrij snel weer online. Volgens de minister brachten organisaties zichzelf via de verschillende sectoren weer online. De overheid moet zorgen dat de juiste informatie en het handelingsperspectief beschikbaar komen. Maar volgens Van Weel kan de overheid nooit de verantwoordelijkheid overnemen voor alle organisaties in Nederland die kwetsbaar kunnen zijn.
Wat betekent dit voor jou? Jouw organisatie blijft zelf verantwoordelijk voor jouw software. Volg meldingen van het NCSC en weet welke software je gebruikt. Bedenk ook vooraf hoe je een website snel offline haalt en weer online brengt. Dat geldt zeker nu AI het vinden van kwetsbaarheden volgens de minister makkelijker maakt. Installeer een patch zodra die beschikbaar is, zodat je sneller kunt handelen bij de volgende kwetsbaarheid.
Kijk tweedekamer debat voor meer informatie.
