Meerdere grote Nederlandse sites zijn woensdag offline gehaald na waarschuwingen over kwetsbaarheden in de veelgebruikte programmeertaal PHP.
Onder meer de sites van de Tweede Kamer, politievakbond ACP, apothekerskoepel KNMP en openbaarvervoersbedrijf EBS zijn tijdelijk niet bereikbaar.
Volg het laatste nieuws in dit liveblog.
DPG Media heeft vandaag aan het begin van de middag ‘uit voorzorg’ een aantal sites tijdelijk offline gehaald vanwege de kwetsbaarheden in de programmeertaal PHP. Dat meldt een woordvoerder van het bedrijf aan persbureau ANP. Het gaat in ieder geval om RTL Nieuws. De organisatie zegt via sociale media nieuws te blijven brengen.
Ook onder meer de Volkskrant en het AD zijn onderdeel van DPG Media. Het is vooralsnog niet duidelijk hoeveel websites die onder de uitgever vallen offline gaan. ‘Op dit moment analyseren we de situatie. Vooralsnog zijn er geen incidenten gemeld voor onze sites, maar onze experts houden de ontwikkelingen in de gaten’, aldus de woordvoerder.
Yassin Boutayeb
De NS verwacht geen hinder te ondervinden als gevolg van de kwetsbaarheden die zijn ontdekt in programmeertaal PHP. Dat laat een woordvoerder van de NS weten aan persbureau ANP. ‘We waren door goede contacten met experts gisteravond al vroeg op de hoogte. Onze teams zitten klaar om maatregelen te nemen, zoals het doorvoeren van de updates.’
Programmeertaal PHP wordt door zo’n 70 procent van de websites wereldwijd gebruikt. Ethische hacker Wouter van Dongen zegt tegen persbureau ANP dat de gevolgen groot zullen zijn op het moment dat kwaadwillenden toegang krijgen tot de websites en data. ‘PHP is de onderliggende technologie waarmee je webapplicaties kan maken. Als dat kwetsbaar is, dan is alles daarop ook kwetsbaar’, zegt de Van Dongen.
PHP levert rond 16.00 een veiligheidsupdate die de kwetsbaarheden in de programmeertaal moeten verhelpen. De vraag is of dat snel genoeg zal zijn. Cybersecurity-onderzoeker van de TU Delft Harm Griffioen zegt tegen ANP dat op internet al wordt gedeeld hoe PHP-sites zijn te hacken. De uren tot de update zullen volgens de hoogleraar daarom ‘erg spannend’ zijn.
Yassin Boutayeb
Het Nationaal Cyber Security Centrum (NCSC) heeft na het bekend worden van kwetsbaarheden in programmeertaal PHP nog geen ‘actief misbruik’ gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om alvast voorbereidingen te treffen op de updates die woensdagmiddag beschikbaar worden gesteld. Die kunnen dan zo snel mogelijk worden geïnstalleerd.
NCSC stelt dat PHP om 16.00 uur updates publiceert om de kwetsbaarheden te verhelpen. Dat tijdstip kan ook nog worden vervroegd. ‘Voer deze updates zodra ze beschikbaar komen direct door. Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar’, waarschuwt de instantie.
Tot die tijd adviseert het centrum dat organisaties per systeem dat PHP gebruikt en aan het internet hangt beoordelen wat de risico's zijn. Ook zouden organisaties moeten kijken of aanvullende maatregelen noodzakelijk zijn, zoals het uitschakelen van het systeem. De website van NCSC zelf is uit voorzorg ook tijdelijk offline gehaald.
ANP
De website van de Tweede Kamer is uit voorzorg offline gehaald in verband met kwetsbaarheden die zijn ontdekt in de programmeertaal PHP. Dat meldt een woordvoerder desgevraagd.
‘Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen’, aldus de zegsman. ‘Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server.’ (ANP)
Delen van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo’s, academische ziekenhuizen en onderzoeksinstituten zijn woensdag uit voorzorg uitgeschakeld. Aanleiding is de waarschuwing voor kwetsbaarheden in de veelgebruikte programmeertaal PHP.
Het is niet bekend welke delen van het netwerk zijn uitgeschakeld. Ook de gevolgen voor bijvoorbeeld colleges en tentamens zijn nog niet duidelijk.
In de nacht van dinsdag op woensdag werd gewaarschuwd voor de kwetsbaarheden in PHP. De ontwikkelaars werken aan een update om het gat te dichten, een zogeheten patch. Die komt waarschijnlijk woensdagmiddag beschikbaar. ‘Details van de kwetsbaarheid zijn echter al uitgelekt. Die worden mogelijk misbruikt door kwaadwillenden’, meldt samenwerkingsverband SURF. (ANP)
Source: Volkskrant