Meerdere grote Nederlandse websites zijn woensdag offline gehaald na waarschuwingen over kwetsbaarheden in de veelgebruikte programmeertaal PHP.
Onder meer de sites van de Tweede Kamer, politievakbond ACP, apothekerskoepel KNMP en vervoersmaatschappij EBS zijn tijdelijk niet bereikbaar.
Volg het laatste nieuws in dit liveblog.
De ontwikkelaars van PHP hebben een update beschikbaar gesteld die de twee kwetsbaarheden in de programmeertaal moet repareren. Gisteravond maakte de PHP Foundation de vondst van de kwetsbaarheden bekend en kondigde ze de veiligheidsupdate aan. Websitebeheerders die werken met PHP kregen het advies de update met ‘veiligheidspatches’ zo snel mogelijk te installeren om de reparaties door te voeren.
Het Nationaal Cyber Security Centrum (NCSC) waarschuwt dat mogelijk niet alle getroffen websites direct na het doorvoeren van de update weer online kunnen. Dat zei plaatsvervangend directeur Corine Schipper-Derkse tijdens een persmoment: ‘Sommige websites kunnen een knop omzetten, maar voor andere websites kan het langer duren. Afhankelijk van welke versie ze gebruiken.’
Na het doorvoeren van de patches zou ‘de weeffout in de software’ volgens Schipper-Derkse moeten zijn hersteld, waarna de websites weer online kunnen worden gezet. Dat is volgens de plaatsvervangend directeur een kwestie van minuten of uren, maar het kan ook langer duren.
Het is volgens Schipper-Derkse ook mogelijk dat er later nog een tweede update beschikbaar wordt gesteld, als de eerste niet alle problemen kan oplossen. Het NCSC verwacht voor 17.00 uur een advies over de patch te publiceren.
Lisa Belt
Hoewel vooral in Nederland op grote schaal websites offline worden gehaald na waarschuwingen over de kwetsbaarheden in programmeertaal PHP, volgen steeds meer Europese landen. Ongeveer 70 procent van de websites wereldwijd draait op PHP of toepassingen van de programmeertaal.
Vooral in België zijn websites van organisaties uit verschillende sectoren uit de lucht. Onder meer het platform Smartschool is offline gehaald, dat veel wordt gebruikt in het basisonderwijs en op middelbare scholen. Ook verschillende Belgische websites van DPG-titels als Libelle en Knack staan op zwart. Daarnaast liggen enkele Belgische overheidswebsites eruit en zijn de websites van verschillende ziekenhuizen, vooral in de regio Antwerpen, tijdelijk niet bereikbaar.
In de rest van Europa hebben tot dusver, voor zover bekend, enkel Finland en Frankrijk websites uit de lucht gehaald. In Finland zijn alle websites van de overheid offline gehaald. Het Franse ministerie van Binnenlandse Zaken zegt dat de websites van lokale administratiekantoren van de overheid tijdelijk niet bereikbaar zijn.
Eerder waarschuwden verschillende nationale veiligheidsdiensten dat organisaties die draaien op PHP hun websites uit de lucht moeten halen. Dergelijke waarschuwingen werden al uitgegeven door de autoriteiten in de Europese Unie, Japan en het Verenigd Koninkrijk. Zowel in het VK als Japan zijn er nog geen meldingen van websites die offline zijn gehaald. Ook in de rest van de wereld, waaronder de Verenigde Staten, zijn er nog geen meldingen gedaan. Wel zegt het Witte Huis een onderzoek te starten naar mogelijke lekken bij de sites van federale overheidsinstanties.
Uma Kagenaar
Volgens het team achter PHP zijn er geen indicaties dat de aangetroffen kwetsbaarheden in de programmeertaal actief worden uitgebuit door kwaadwillenden. Dat meldt de Amerikaanse PHP Foundation aan het ANP. Eerder vandaag meldde het Nationaal Cyber Security Centrum (NCSC) al dat het nog geen ‘actief misbruik’ van de kwetsbaarheden in PHP had gesignaleerd.
De organisatie waarschuwde gisteren voor ‘kritieke kwetsbaarheden’ in de code. Cyberveiligheidsdiensten riepen daarna op tot voorzorgsmaatregelen. Veel websites, waaronder die van DigiD, de Tweede Kamer en universiteiten, werden daarna offline gehaald. Om 16.00 uur maakt de PHP Foundation een update beschikbaar, die de kwetsbaarheden zou moeten verhelpen.
Inmiddels zijn ook de websites van dertien van de 25 veiligheidsregio’s in Nederland uit voorzorg offline gehaald. Ook een deel van de websites van telecombedrijf Odido en energiebedrijf Eneco zijn uit de lucht gehaald.
De website van supermarktketen Hoogvliet is voorlopig niet bereikbaar. De website van Albert Heijn, die sinds vandaag weer volledig operationeel is, is nog steeds in de lucht. Moederbedrijf Ahold Delhaize denkt niet dat het PHP-lek verband houdt met de recente cyberaanval die het bedrijf tien dagen lang platlegde.
Lisa Belt
Verschillende Nederlandse ziekenhuizen hebben vandaag hun websites offline gehaald vanwege een digitale dreiging. Die is het gevolg van kwetsbaarheden in de programmeertaal PHP. Wereldwijd gebruikt 70 procent van de websites PHP.
Het gaat onder meer om de websites van het Maastricht UMC+, het Jeroen Bosch Ziekenhuis in Den Bosch, het BovenIJ-ziekenhuis in Amsterdam en het Albert Schweitzer-ziekenhuis in Dordrecht. Bij sommige ziekenhuizen doet de website het wel, maar zijn bepaalde diensten offline.
Bij het ziekenhuis Franciscus (Rotterdam en Schiedam) zijn bijvoorbeeld de online patiëntenfolders niet beschikbaar ‘door landelijke beveiligingsrisico's’. Bij de Gelre Ziekenhuizen (Apeldoorn en Zutphen) is een app voor patiënten niet beschikbaar.
ANP/redactie
De website van MijnOverheid en de app van luchthaven Schiphol zijn tijdelijk niet bereikbaar, vanwege de kwetsbaarheden in programmeertaal PHP. Het is niet duidelijk hoelang de website van MijnOverheid uit de lucht blijft. De website van Schiphol blijft vooralsnog wel beschikbaar.
Hackers kunnen door de kwetsbaarheden bij PHP mogelijk toegang krijgen tot talloze websites die gebruikmaken van de programmeertaal. Tot nu toe zijn dergelijke meldingen nog niet binnengekomen.
Verschillende grote Nederlandse organisaties hebben hun websites eerder vandaag al offline gehaald. Het gaat onder meer om de Tweede Kamer, het RIVM en de Unie van Waterschappen. Ook de KNVB heeft zijn website uit de lucht gehaald.
Yassin Boutayeb
DPG Media heeft vandaag aan het begin van de middag ‘uit voorzorg’ een aantal sites tijdelijk offline gehaald vanwege de kwetsbaarheden in de programmeertaal PHP. Dat meldt een woordvoerder van het bedrijf aan persbureau ANP. Het gaat in ieder geval om de site van RTL Nieuws. De organisatie zegt onder meer via sociale media nieuws te blijven brengen.
Ook onder meer de Volkskrant en het AD zijn onderdeel van DPG Media. Het is vooralsnog niet duidelijk hoeveel websites die onder de uitgever vallen offline gaan. ‘Op dit moment analyseren we de situatie. Vooralsnog zijn er geen incidenten gemeld voor onze sites, maar onze experts houden de ontwikkelingen in de gaten’, aldus de woordvoerder.
Yassin Boutayeb
De NS verwacht geen hinder te ondervinden als gevolg van de kwetsbaarheden die zijn ontdekt in programmeertaal PHP. Dat laat een woordvoerder van de spoorwegmaatschappij weten aan persbureau ANP. ‘We waren door goede contacten met experts gisteravond al vroeg op de hoogte. Onze teams zitten klaar om maatregelen te nemen, zoals het doorvoeren van de updates.’
Programmeertaal PHP wordt door zo’n 70 procent van de websites wereldwijd gebruikt. Ethisch hacker Wouter van Dongen zegt tegen persbureau ANP dat de gevolgen groot zullen zijn op het moment dat kwaadwillenden toegang krijgen tot de websites en data. ‘PHP is de onderliggende technologie waarmee je webapplicaties kunt maken. Als dat kwetsbaar is, dan is alles daarop ook kwetsbaar’, zegt Van Dongen.
PHP levert rond 16.00 uur een veiligheidsupdate die de kwetsbaarheden in de programmeertaal moet verhelpen. De vraag is of dat snel genoeg zal zijn. Harm Griffioen, cybersecurity-onderzoeker van de TU Delft, zegt tegen ANP dat op internet al wordt gedeeld hoe PHP-sites zijn te hacken. De uren tot de update zullen volgens de wetenschapper daarom ‘erg spannend’ zijn.
Yassin Boutayeb
Het Nationaal Cyber Security Centrum (NCSC) heeft na het bekend worden van kwetsbaarheden in programmeertaal PHP nog geen ‘actief misbruik’ gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om alvast voorbereidingen te treffen voor de updates die woensdagmiddag beschikbaar worden gesteld. Die kunnen dan zo snel mogelijk worden geïnstalleerd.
Het NCSC stelt dat PHP om 16.00 uur updates publiceert om de kwetsbaarheden te verhelpen. Dat tijdstip kan ook nog worden vervroegd. ‘Voer deze updates zodra ze beschikbaar komen direct door. Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar’, waarschuwt de instantie.
Tot die tijd adviseert het centrum dat organisaties per systeem dat PHP gebruikt en aan het internet hangt beoordelen wat de risico’s zijn. Ook zouden organisaties moeten kijken of aanvullende maatregelen noodzakelijk zijn, zoals het uitschakelen van het systeem. De website van het NCSC zelf is uit voorzorg ook tijdelijk offline gehaald. (ANP)
De website van de Tweede Kamer is uit voorzorg offline gehaald in verband met kwetsbaarheden die zijn ontdekt in de programmeertaal PHP. Dat meldt een woordvoerder desgevraagd.
‘Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen’, aldus de zegsman. ‘Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server.’ (ANP)
Delen van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo’s, academische ziekenhuizen en onderzoeksinstituten zijn woensdag uit voorzorg uitgeschakeld. Aanleiding is de waarschuwing voor kwetsbaarheden in de veelgebruikte programmeertaal PHP.
Het is niet bekend welke delen van het netwerk zijn uitgeschakeld. Ook de gevolgen voor bijvoorbeeld colleges en tentamens zijn nog niet duidelijk.
In de nacht van dinsdag op woensdag werd gewaarschuwd voor de kwetsbaarheden in PHP. De ontwikkelaars werken aan een update om het gat te dichten, een zogeheten patch. Die komt waarschijnlijk woensdagmiddag beschikbaar. ‘Details van de kwetsbaarheid zijn echter al uitgelekt. Die worden mogelijk misbruikt door kwaadwillenden’, meldt samenwerkingsverband SURF. (ANP)
Source: Volkskrant