Kort gezegd: Het BSI-waarschuwingsniveau Oranje is het op een na hoogste van vier niveaus. Het betekent: de IT-dreigingssituatie is bedrijfskritiek, de normale bedrijfsvoering kan ernstig worden verstoord. Voor PHP2Shell heeft het BSI (de Duitse federale dienst voor informatiebeveiliging) dit niveau 3 toegekend en adviseert het de directe update of, als die niet kan, getroffen webservers tijdelijk van het net te halen. Voor bedrijven betekent Oranje: dit onderwerp hoort vandaag op de tafel van de directie.
Wat de indeling voor besluitvormers betekent
Veel bestuurders hebben in het nieuws over „waarschuwingsniveau Oranje” gehoord, zonder te weten hoe ze dat moeten plaatsen. Is het een alarm voor iedereen of een onderwerp voor de IT-afdeling? Het korte antwoord: Oranje is het niveau waarop het BSI ervan uitgaat dat getroffenen zonder snel handelen serieuze verstoringen van hun bedrijf riskeren.
Volgens hessenschau sprak het BSI bij PHP2Shell van een uitzonderlijk dreigingspotentieel. Het rekende op snel, grootschalig misbruik. Bevestigde geslaagde aanvallen op grote schaal waren op het moment van de waarschuwing volgens het BSI niet bekend. Beide horen bij elkaar: het hoge niveau beschrijft het risico, niet een reeds ontstane schade.
BSI-waarschuwingsniveau Oranje en de andere drie niveaus
Het BSI deelt zijn cyberbeveiligingswaarschuwingen in op een schaal van 1 tot 4. De volgende tabel geeft de betekenis naar de strekking weer:
| Niveau | Kleur | Betekenis (naar de strekking) |
|---|---|---|
| 1 | Grijs | IT-dreigingssituatie zonder wezenlijke bijzonderheden |
| 2 | Geel | verscherpte observatie van bijzonderheden, bedrijfsvoering tijdelijk beperkt |
| 3 | Oranje | bedrijfskritieke situatie, ernstige verstoring van de normale bedrijfsvoering |
| 4 | Rood | extreem kritieke situatie, normale bedrijfsvoering op veel terreinen niet meer vol te houden |
Het niveau zegt iets over de situatie als geheel, niet over uw afzonderlijke server. Een volledig gepatchte en gecontroleerde webserver staat ook bij Oranje in een goede positie. Een ongepatchte server met PHP 8.1 en mod_php is ook bij een lager niveau in gevaar.
Hoe u de schaal intern gebruikt
Veel bedrijven hebben eigen noodniveaus, bijvoorbeeld in het noodhandboek of binnen een informatiebeveiligingsmanagement. Het loont de BSI-niveaus daar vast toe te wijzen. Een eenvoudige regel kan luiden: bij Geel controleert de IT binnen de normale bedrijfsvoering. Bij Oranje wordt de directie dezelfde dag geïnformeerd, een verantwoordelijke aangewezen en de status van alle getroffen systemen schriftelijk vastgelegd. Bij Rood komt het crisisteam bijeen.
Zo wordt van een bericht een ingeoefende reactie. Wie de toewijzing vooraf heeft vastgelegd, hoeft in een noodsituatie niet te discussiëren of de situatie „ernstig genoeg” is. Bij PHP2Shell zou deze regel hebben betekend: nog op 21 oktober inventarisatie, patchplan en besluit over uitschakelingen.
De waarschuwingen zelf publiceert het BSI op zijn website, waar ze bij nieuwe inzichten ook worden bijgewerkt. Het loont de telkens actuele versie te lezen, want aanbevelingen en inschattingen kunnen in de loop van een situatie veranderen.
Waarom PHP2Shell Oranje is en niet Rood
Ter vergelijking wordt vaak Log4Shell aangehaald. Voor het lek in de Java-bibliotheek Log4j riep het BSI in december 2021 niveau Rood uit, volgens toenmalige berichten onder meer omdat het lek triviaal te misbruiken was en er al compromitteringen bekend waren. In januari 2022 werd de waarschuwing volgens de Bondsdag verlaagd naar Geel.
De precieze reden voor Oranje bij PHP2Shell kent alleen het BSI. Zichtbare verschillen zijn de situatie bij bevestigde aanvallen en het feit dat er voor alle ondersteunde PHP-takken een update beschikbaar is. Een uitgebreide vergelijking biedt de bijdrage PHP2Shell en Log4Shell. Oranje is daarbij geen geruststelling. Het advies om servers desnoods van het net te halen is voor een overheidsinstantie een duidelijke boodschap.
Het waarschuwingsniveau kan veranderen, in beide richtingen. Doorslaggevend is de actuele stand op de website van het BSI, niet een krantenartikel van de dag ervoor.
Wat Oranje niet betekent
Drie misverstanden komen wij momenteel vaak tegen:
- „Oranje betekent dat we gehackt zijn.” Nee. Het niveau beschrijft de dreigingssituatie, niet een bevinding op uw systemen.
- „Oranje geldt alleen voor overheden.” Nee. De waarschuwingen richten zich tot alle beheerders van getroffen systemen, ook tot kleine bedrijven.
- „Als we Cloudflare of een WAF hebben, raakt Oranje ons niet.” Nee. Beschermingsregels verlagen het risico, maar vervangen de PHP-update niet.
Of uit de waarschuwing juridische verplichtingen voortvloeien, bijvoorbeeld in het kader van NIS2, hangt af van uw branche en omvang. Dit is geen juridisch advies; bespreek de details met uw juridisch adviseur of uw functionaris voor gegevensbescherming.
De indeling vertalen naar beslissingen
Een waarschuwingsniveau is net zoveel waard als de beslissingen die eruit volgen. Voor PHP2Shell raden wij bedrijven deze volgorde aan:
- Getroffenheid vaststellen: Welke servers en websites draaien met PHP, wie beheert ze?
- Patchstatus aantonen: verholpen versie 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of een door de aanbieder bevestigde backport.
- Herstart waarborgen: Alle PHP-processen moeten zijn herstart.
- Als dat niet direct kan: tussentijdse maatregelen instellen of de server tijdelijk van het net halen, zoals het BSI adviseert. De opties beschrijft Directe maatregelen zonder patch.
- Sporen controleren en logs veiligstellen: vanaf 20 oktober.
- Beslissingen documenteren: wie wat wanneer heeft besloten en op welke grondslag.
Juist het laatste punt wordt onderschat. Wie bij een officiële waarschuwing van niveau Oranje aantoonbaar heeft gehandeld, staat sterker tegenover verzekeraars, klanten en toezichthouders. Achtergronden biedt de pagina over de aansprakelijkheid van de directie.
Hoe helpt PHP SOS concreet?
- Situatie voor uw bedrijf: Wij vertalen de BSI-indeling naar een lijst van uw getroffen systemen met prioriteit.
- Uitvoering van het advies: Wij patchen, herstarten of stellen tussentijdse maatregelen in, tot de update mogelijk is.
- Bewijs: U ontvangt een documentatie van wat wanneer op welke server is gebeurd.
- Monitoring: Wijzigt het BSI de indeling of komen er nieuwe meldingen, dan beoordelen wij ze voor uw systemen.
Meer daarover onder PHP2Shell-noodhulp.
Conclusie
Waarschuwingsniveau Oranje is het op een na hoogste niveau van het BSI en voor PHP2Shell goed onderbouwd. Het vraagt geen paniek, maar wel een beslissing op dezelfde dag: patchen, herstarten, controleren of tijdelijk uitschakelen. Wie dat documenteert, heeft de waarschuwing juist gelezen.
Veelgestelde vragen
Hoeveel waarschuwingsniveaus heeft het BSI?
De cyberbeveiligingswaarschuwingen van het BSI gebruiken vier niveaus: 1 / Grijs, 2 / Geel, 3 / Oranje en 4 / Rood. Oranje is het op een na hoogste niveau en beschrijft een bedrijfskritieke IT-dreigingssituatie met ernstige verstoring van de normale bedrijfsvoering.
Is waarschuwingsniveau Oranje een verplichting om te handelen?
De waarschuwing zelf is een vakinhoudelijke inschatting met aanbevelingen. Welke verplichtingen daaruit voor uw bedrijf voortvloeien, bijvoorbeeld uit NIS2, contracten of verzekeringsvoorwaarden, hangt af van het individuele geval. Bespreek dat met uw juridisch adviseur; dit is geen juridisch advies.
Waarom is PHP2Shell niet niveau Rood?
De redenen voor een indeling bepaalt het BSI zelf. Opvallend is een verschil met Log4Shell, dat in 2021 Rood kreeg: daar waren volgens toenmalige berichten al compromitteringen bekend. Bij PHP2Shell waren bevestigde geslaagde aanvallen op grote schaal volgens het BSI aanvankelijk niet bekend.
Kan het waarschuwingsniveau veranderen?
Ja. Het BSI past indelingen aan de situatie aan, naar boven en naar beneden. Log4Shell werd volgens de Bondsdag bijvoorbeeld in januari 2022 van Rood naar Geel verlaagd. Controleer de actuele stand rechtstreeks bij het BSI.