Noorse veiligheidsdienst NSM: nog geen misbruik van kritiek PHP-lek vastgesteld

De Noorse veiligheidswaakhond NSM (Nasjonal sikkerhetsmyndighet) zegt geen aanwijzingen te hebben dat twee kritieke kwetsbaarheden in de programmeertaal PHP al actief zijn misbruikt in Noorwegen. Toch adviseert NSM alle systeembeheerders om de beschikbare beveiligingsupdate zo snel mogelijk te installeren. NSM is de instantie die in Noorwegen waakt over de digitale veiligheid van de overheid en vitale infrastructuur, en die bij een dreiging als deze de ernst inschat en beheerders adviseert.

Het gaat om twee lekken, bekend als CVE-2026-109618 en CVE-2026-109619 en samen PHP2Shell genoemd, die deze week aan het licht kwamen. PHP draait naar schatting zo’n 70 procent van alle websites wereldwijd, waaronder sites op WordPress, Drupal, Joomla en Magento. De lekken maken het mogelijk om zonder inloggegevens op afstand kwaadaardige code uit te voeren. Omdat zoveel websites op PHP draaien, raakt een lek in die taal in één klap een groot deel van het internet, van webwinkels tot overheidsportalen.

De ontwikkelaars van PHP maakten de twee lekken dinsdag bekend, waarna woensdagmiddag een beveiligingsupdate beschikbaar kwam. Amerikaanse autoriteiten zouden al op 16 oktober van de kwetsbaarheden hebben geweten. Tussen de bekendmaking en de patch zaten dus maar enkele dagen, de tijd waarin systemen zonder update het meest kwetsbaar waren.

Zodra de details bekend werden, haalde Sikt uit voorzorg Feide tijdelijk offline. Feide is de nationale inlogoplossing voor het Noorse onderwijs- en onderzoeksveld, waarmee leerlingen, studenten en personeel toegang krijgen tot digitale leermiddelen. Ook systemen van het Digitaliseringsdirectoraat (Digdir) en hogeschool OsloMet gingen preventief offline in afwachting van de update. Digdir is het overheidsorgaan dat de digitale diensten van de Noorse staat coördineert, terwijl OsloMet een hogeschool in Oslo is met duizenden studenten.

Noorwegen staat niet alleen: ook in Finland, Zweden en Nederland werden sites van diensten tijdelijk uit voorzorg gesloten, en in Frankrijk ging de overheidswebsite info.gouv.fr offline. Verschillende landen kozen dus voor dezelfde aanpak: liever tijdelijk minder dienstverlening dan het risico op een inbraak.

Beveiligingsexpert Per Thorsheim noemt het risico van de kwetsbaarheid het hoogst denkbare, een tien op een schaal van nul tot tien. Aanvallers kunnen op afstand volledige controle over een systeem krijgen. Het Britse National Cyber Security Centre (NCSC), de Britse overheidsinstantie voor cyberveiligheid, kwalificeert de kwetsbaarheden eveneens als kritiek.

Voor misbruik van het lek is geen wachtwoord nodig, zegt hoogleraar Olaf Hallan Graven. Dat maakt het volgens hem tot een van de ernstigste kwetsbaarheden die een website kan treffen. Het NCSC bevestigt dat de kwetsbaarheden inderdaad ongeauthenticeerde uitvoering van code op afstand toelaten. Een aanvaller hoeft dus geen account of wachtwoord te stelen; toegang tot een kwetsbare server via internet is al voldoende.

Voor wie in Noorwegen van Feide of de getroffen overheidsdiensten gebruikmaakt, betekent de preventieve sluiting vooral dat inloggen tijdelijk niet werkte, terwijl beheerders op de achtergrond de update installeerden. Dat is in dit soort gevallen de gangbare aanpak: eerst de toegang afsluiten, dan pas weer openen zodra het risico weg is. Systeembeheerders die de update nog niet hebben geïnstalleerd, doen dat volgens NSM het beste onmiddellijk.