PHP2Shell: kritieke PHP-kwetsbaarheid, wat Hypernode en wij doen.

Hypernode heeft zojuist besloten om vandaag om 14:30 Nederlandse tijd (12:30 UTC) het volledige platform offline te halen. Alle shops die op Hypernode draaien, dus ook die van onze klanten, zijn tijdens dit noodonderhoud niet bereikbaar.

De reden: de PHP-core-developers hebben Hypernode laten weten dat de mitigaties van vanochtend niet voldoende zijn om beide lekken te blokkeren. De enige echte oplossing is PHP updaten. Tegelijk waarschuwen securitypartijen dat exploits binnen minuten na publicatie van de patch beschikbaar zullen zijn, omdat patches tegenwoordig met AI worden geanalyseerd en omgezet in werkende exploits. En omdat de details zijn uitgelekt, is de release vervroegd naar 15:00 Nederlandse tijd (13:00 UTC). Hypernode kan niet garanderen dat de packages via hun PHP-securitypartner Freexian op dat moment direct klaarstaan.

Zodra de patches op je Hypernode zijn geïnstalleerd, komt die weer online. Hypernode verwacht dat het onderhoud tot 15:30 duurt. Lopen de patches vertraging op, dan duurt het langer. Volg de voortgang op de statuspagina van Hypernode.

We snappen dat een offline shop op een woensdagmiddag pijn doet. Maar een shop die een uur dicht is, is een stuk goedkoper dan een datalek met klantgegevens en betaalinformatie. Tweakers, de Tweede Kamer en het NCSC maakten vanochtend dezelfde afweging. We staan achter deze keuze.

Het PHP-securityteam heeft twee kritieke kwetsbaarheden aangekondigd, samen bekend als PHP2Shell. Beide zijn beoordeeld met een CVSS-score van 9,2 en beide leiden tot remote code execution: een aanvaller kan zonder account of klik van een medewerker code uitvoeren op de webserver.

Het verschil met StyleSmuggler van vorige maand: dat lek zat in Magento. Dit lek zit in de PHP-core zelf, in de laag die requests verwerkt vóórdat je applicatie überhaupt aan de beurt is. Daardoor helpt een maintenance mode van Magento of WordPress niet: PHP parseert het verzoek al voordat de applicatie de vlag kan controleren. Een WAF of mitigatie op webserverniveau is daarom nu het enige dat tussen het internet en je PHP-proces staat.

De naam komt van een exploit-tool die samen met het advisory is uitgelekt. Volgens de banner van die tool werkt hij tegen elke PHP-release vanaf 5.4.0. Cloudflare meldde vanochtend om 07:43 UTC al de eerste aanvallen op PHP-sites, nog vóór de officiële patch. Sansec verwacht massale aanvallen binnen een kwartier na publicatie van de fix. Een aantal Nederlandse sites, waaronder Tweakers en de Tweede Kamer, ging rond 10:35 UTC uit voorzorg offline.

Alle webservers met PHP 5.4 of nieuwer. Dat is in de praktijk elke PHP-website die nu online staat.

PHP ondersteunt officieel alleen nog 8.2 en nieuwer. Draai je ergens nog 8.1 of ouder, dan komt er voor die versie geen officiële fix. Dat is dan ook het moment om te upgraden of de site offline te halen, want een mitigatie op de webserver is een pleister, geen oplossing.

De officiële patch stond gepland voor vandaag, woensdag 21 oktober, om 14:00 UTC (16:00 Nederlandse tijd), maar is vervroegd naar 13:00 UTC (15:00 Nederlandse tijd) omdat de details zijn uitgelekt. Let op als je RHEL-gebaseerde servers hebt met packages van Remi: die repository publiceert vandaag geen update. Dan moet je terug naar de distributiepackages of zelf bouwen.

Onze hostingpartner Hypernode is via zijn securitycontacten bij PHP vroegtijdig geïnformeerd en werkt sinds dinsdagmiddag aan mitigaties. Die zijn vanochtend rond 10:00 uur uitgerold op alle Hypernode-omgevingen, dus ook op de shops van onze klanten. Dat was ruim voordat de eerste Nederlandse sites offline gingen.

Zodra PHP de officiële patch publiceert, wordt die direct op alle servers geïnstalleerd. Omdat die mitigaties volgens de PHP-core-developers niet tegen beide lekken beschermen, gaat het platform om 14:30 offline tot de patch staat (zie de update bovenaan). De engineers van Hypernode blijven stand-by tot alles is bijgewerkt.

• We volgen de patchuitrol en controleren vandaag per shop of de gepatchte PHP-versie actief is.
• Na de patch draaien we een extra malwarescan op elke omgeving, zoals we dat ook rond StyleSmuggler hebben gedaan.
• Zien we iets afwijkends, dan hoor je dat direct van ons.

Dit is precies waarom we standaard op Hypernode draaien en Sansec Shield voor al onze klanten aan hebben staan. Bij een lek in PHP zelf is er geen Magento-patch om op te wachten. De vraag is dan hoe snel er iets voor je blokkeert, en hoe snel je ziet dat er iets is binnengekomen.

Ben je bij ons klant? Dan hoef je voor je Magento-shop niets te doen. Houd er wel rekening mee dat je shop vanmiddag vanaf 14:30 offline is tot de patch is geïnstalleerd, naar verwachting tot 15:30.

Wel een belangrijke vraag: draait er naast je Magento-shop nog andere PHP-software bij een andere hoster? Denk aan een WordPress-site voor je corporate pagina's, een intranet of een eigen tool. Doe daar vandaag navraag of de patch voor PHP2Shell wordt toegepast. Dit lek raakt alles wat PHP draait, en een WordPress-site bij een budgethoster is net zo'n ingang als je webshop.

Staat je shop niet bij ons en wacht je nog op de patch? Dit zijn de mitigaties die Sansec en de PHP-core-developers aanraden, in volgorde van effectiviteit.

• Haal de site tijdelijk offline, of maak hem read-only door alleen GET en HEAD toe te laten op de webserver. Dit is wat PHP-core-developer Gina Peter Banyard adviseert als enige echte mitigatie naast patchen. De maintenance mode van je applicatie helpt niet.
• Blokkeer multipart/form-data op webserverniveau (nginx return 403 of een Apache RewriteRule). Dit breekt file uploads, in Magento dus ook productafbeeldingen uploaden in de admin, en mogelijk sommige checkoutformulieren. Test daarna een bestelling.
• Zet de site achter Cloudflare met de managed WAF-rules aan. Cloudflare noemt dit zelf een tijdelijke maatregel. Zorg dat je origin alleen verkeer van Cloudflare-IP-ranges accepteert, anders loopt een aanvaller er gewoon omheen.
• Zet session.upload_progress.enabled uit en session.use_strict_mode aan in je PHP-configuratie (bij PHP-FPM via php_admin_flag per pool, daarna reload). Dit is niet voldoende op zichzelf en werkt niet als je sessies in Redis of de database staan.
• Patch zodra de release er is, en draai daarna een malwarescan. De aanvallen liepen al vóór de patch, dus "gepatcht" betekent niet automatisch "schoon".

Vragen over je eigen shop of over die andere PHP-site? Bel of mail ons, ook als je geen klant bent.

• Sansec — PHP2Shell research en mitigaties
• Ons eerdere bericht over StyleSmuggler