Omdat u via ons met Business Central werkt, krijgt u deze vraag misschien ook: raakt dit mijn systemen? Hieronder zetten we op een rij wat er is gebeurd, wat het voor u betekent en wat u nu het beste kunt doen.
Wat is er gebeurd
Het gaat om twee kwetsbaarheden in PHP zelf, niet in één plug-in of één pakket. Beide krijgen de hoogste ernstscore (9,2 op 10) en kunnen een aanvaller toegang geven tot de server, zonder dat die hoeft in te loggen. Het verloop:
20 oktober
Het PHP-team kondigt een spoedupdate aan. De details lekken die dag al uit, een dag eerder dan gepland.
21 oktober
De update verschijnt: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Beveiligingsbedrijven zien daarna aanvalspogingen op servers die nog niet zijn bijgewerkt.
23 oktober
PHP meldt een derde, kleinere kwetsbaarheid. Die speelt alleen bij een ongebruikelijke inrichting. Er is geen misbruik van gemeld en de oplossing volgt in de eerstvolgende reguliere update.
Wat het betekent voor u
Eerst het goede nieuws: Microsoft Dynamics 365 Business Central is niet op PHP gebouwd en dit lek raakt het programma zelf dus niet. Er zijn wel andere plekken waar PHP kan meedraaien:
✓ Uw website en webshop: WordPress, WooCommerce, Magento, Joomla en Drupal draaien op PHP. Staat uw webshop gekoppeld aan Business Central, controleer dan ook die webshop.
✓ Eigen servers: draait er software op uw eigen infrastructuur die PHP gebruikt, dan moet die bijgewerkt worden door u of uw beheerpartij.
✓ Oude PHP-versies: PHP 8.1 en ouder krijgt geen update meer. Draait een site daarop, dan is upgraden naar een nieuwere versie de enige echte oplossing.
Wat u nu kunt doen
1. Vraag uw hostingpartij of ICT-beheerder of PHP is bijgewerkt naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of nieuwer.
2. Controleer de PHP-versie van uw website en webshop. Staat die op 8.1 of ouder, plan dan een upgrade in.
3. Bel uw beheerder over de derde melding. Als tussenmaatregel adviseert PHP de instelling session.upload_progress.enabled uit te zetten.
4. Let op verdachte activiteit. Merkt u iets geks aan uw site of server, schakel dan direct uw beheerder in.
