AI Nieuws Vandaag
AI vindt ernstig lek in PHP dat jaren verborgen bleef
Beveiligingsonderzoekers van Wiz vonden met hulp van AI-modellen twee zware lekken in PHP. Op woensdag 21 oktober kwam een update uit. Volgens Simon Willison, een bekende AI-blogger, circuleerden al sinds de avond ervoor aanvalsvoorbeelden door een lek in de geheimhouding. Grote schade is nog niet gemeld.
Waarom het ertoe doet: Beheer je een website met PHP, installeer dan de update, want kleinere sites blijven volgens AI-expert Steven Latré kwetsbaar.
PHP is een programmeertaal waarop volgens beveiligingsbedrijf Wiz 70 procent van alle websites draait, waaronder WordPress. Een lek in PHP zelf raakt dus veel sites tegelijk.
Hoe vond Wiz de lekken in PHP?
Wiz Research ontdekte het eerste lek op 19 augustus, met hulp van AI-modellen. Volgens het bedrijf bestonden de fouten al langer dan tien jaar en raken ze elke PHP-versie sinds 5.4. VRT NWS schrijft zelfs over 14 jaar.
Het lek zat dus in PHP zelf, niet in een losse website. Een aanvaller kon daardoor op afstand code laten uitvoeren op een server of geheugen uitlezen. In dat geheugen kunnen wachtwoorden en sleutels staan.
Wiz zegt dat AI-modellen het werk haalbaar maakten. Het bewijs dat het lek echt te misbruiken was, vroeg een heel ingewikkelde reeks stappen. Met de modellen maakte Wiz werkende aanvallen op meerdere programma's in enkele uren.
Wat ging er mis bij de bekendmaking van PHP?
Onderzoekers melden zo'n lek eerst stil aan de makers, zodat die het kunnen repareren voordat het publiek het weet. Dat liep mis. Volgens de PHP Foundation, aangehaald door Simon Willison, doken op dinsdag 20 oktober rond 15.00 uur UTC de codes van de twee lekken online op.
PHP haalde daarom de aankondiging naar voren. Ook de update kwam een dag eerder, op woensdag 21 oktober. Beveiligingsbedrijf Calif, dat de lekken ook had gemeld, publiceerde per ongeluk een video waarin een aanval op meerdere doelen te zien was.
Kopieën van die video gingen rond en volgens de PHP Foundation versnelde dat het maken van aanvalsvoorbeelden. Willison schrijft dat die al sinds de avond ervoor circuleren. Volgens VRT NWS haalden bedrijven sites voorzorgshalve offline.
Wat moet je doen als je site PHP gebruikt?
Installeer de nieuwe PHP-versie zo snel mogelijk. Willison noemt updaten "vital", dus onmisbaar. Beheer je een WordPress-site, vraag dan ook je hostingbedrijf of de update al is geïnstalleerd.
Steven Latré, AI-expert bij onderzoeksinstituut Imec, waarschuwt voor kleinere sites. "Bij grote bedrijven gebeurt dat snel, maar ik kan me inbeelden dat dat bij kleinere websites niet zo snel aangepast wordt." Volgens VRT NWS is er nog geen grote hack gemeld.
Latré verwacht dat AI meer van zulke lekken zal vinden, ook voor aanvallers. Volgens hem kan wat hackers vroeger in dagen deden, nu in enkele uren. Wiz noemt ook bedrijven als Cloudflare, Google en Microsoft, die tijdelijke bescherming maakten voor wie niet direct kan updaten.
Gemeld door 3 bronnen: VRT NWS, wiz.io (een onbekende site, via Hacker News, 439 punten), Simon Willison
Lees de bron (naar de bron)Klopt er iets niet?
Onderwerpen: AI-beveiligingPHP
Elke ochtend het AI-nieuws in je mail
Om 07:00 de belangrijkste berichten, in gewone taal. Gratis, en afmelden kan altijd met één klik. Je meldt je aan bij Buttondown, de dienst die de nieuwsbrief voor ons verstuurt.
