Cyberrrrrrr

De laatste keer dat Nieuwsuur zich bemoeide met een cyberrrrrrrprobleem hing Rudy Bouma sofort aan de telefoon bij digicharlatan Rian van Rijbroek die voor het grote publiek wat dingen mocht duiden over BLOKTSJEEN en DE RUSSEN en daar liggen we nog regelmatig om in een deuk. All jokes aside heeft Wollaars hier natuurlijk wel een punt met z'n 'kan groot worden dit': er zitten twee 'kritieke kwetsbaarheden' in PHP, een van de oudste en meest gebruikte (web)programmeertalen. Naast veel applicaties maakt bijvoorbeeld WordPress er gebruik van en dan heb je het dus over een groot deel van het internet - mogelijk inderdaad wel 70%. Een FAQ (nerdalert!) leest u hierrrr. De patch komt vanmiddag 14.00 uur UTC, dat is 16.00 uur Nederlandse tijd. Mocht vóór die tijd het halve internet op zwart gaat (wie niet kan updaten, doet er volgens CERT verstandig aan de websites offline te halen) blijft u van harte welkom de ontwikkelingen hier op de GeenStijls te volgen - wij doen namelijk niet aan PHP.

"Concreet gaat het om CVE-2026-109618 en CVE-2026-109619 die een CVSS (v4) score hebben gekregen van 9.2/10. Dit soort scores zijn een beetje arbitrair omdat er ook security issues zijn met een hoge score die zeer moeilijk exploiteerbaar zijn. In dit geval lijkt het wat anders te liggen, volgens de huidige berichtgeving gaat het mogelijk om 'unauthenticated remote code execution'. Vrij vertaald geeft dat hackers toegang tot het uitvoeren van code op de server waar de software draait zonder daarvoor hoeven in te loggen. Als je een website bezoekt die PHP gebruikt dan wordt er op die server PHP code uitgevoerd om de webpagina te renderen. Hierin zit dus ergens een security issue waardoor dit mogelijk is."