MijnOverheid en DigiD weer online • Wereldwijd oproepen om beveiligingsupdate te installeren

Dit liveblog gaat sluiten. Bedankt voor het lezen.

Mochten er nieuwe ontwikkelingen zijn, dan melden we die via NOS.nl, de NOS-app en onze andere kanalen.

De website van DigiD is weer online. De site was vandaag uit voorzorg uit de lucht vanwege een beveiligingslek bij programmeertaal PHP.

Enkele uren geleden werd ook de website van MijnOverheid weer beschikbaar. Een andere overheidswebsite, overheid.nl, is daarentegen nog steeds offline.

Een woordvoerder van het ministerie van Binnenlandse Zaken kan niet zeggen hoelang het nog duurt voordat ook die site weer beschikbaar is.

Het eerste lek in de programmeertaal PHP werd al op 11 augustus gevonden. Dat meldt de organisatie achter de programmeertaal, PHP Foundation, op zijn eigen website(opent in nieuw venster). Het tweede lek werd niet veel later los daarvan ontdekt.

Onderzoekers van het beveiligingsbedrijf Calif vonden in samenwerking met OpenAI het eerste lek met behulp van een specifiek AI-model. Wiz, dat eigendom is van Google, ontdekte de kwetsbaarheden in de programmeertaal onafhankelijk van Calif en OpenAI en meldde op 24 augustus een tweede lek. Ook Wiz gebruikte daarvoor AI.

In 2024 waren er al aanwijzingen dat er iets mis was. Maar door andere, concretere problemen werden de aanwijzingen overschaduwd, schrijft PHP Foundation.

OpenAI schrijft(opent in nieuw venster) zelf dat het de “afgelopen twee maanden een coalitie van beheerders, onderzoekers en beveiligingsproviders heeft geleid om kritieke kwetsbaarheden in PHP aan te pakken”. Wiz noemt dat de bevindingen behoren “tot de ernstigste kwetsbaarheden die ooit in PHP zijn ontdekt, en wellicht zelfs in de geschiedenis van software”.

Wiz stelt dat de kwetsbaarheden al decennialang bestonden, maar dat het moeilijk was om aan te tonen dat ze daadwerkelijk konden worden misbruikt. Daarvoor moesten taken worden uitgevoerd die “aan de grens lagen van wat menselijke onderzoekers in de praktijk konden bereiken”.

Het beveiligingsbedrijf zei dat “met de geavanceerdste AI-modellen en het juiste gereedschap slechts een onderzoeker er binnen een week in slaagde, iets wat een topteam voorheen maanden werk zou hebben gekost”.

Ook de website mijn.overheid.nl is weer in de lucht. De website van DigiD is nog steeds offline, al is het wel mogelijk om met DigiD in te loggen op andere websites.

Een oplossing voor een zwakke plek in programmeertaal PHP liet lang op zich wachten, vindt de Amerikaanse PHP Foundation. Die zegt er “geen doekjes om te winden” en spreekt van een “structurele fout”.

Dat een oplossing lang duurde, komt volgens de stichting achter PHP door een gebrek aan overeenstemming binnen het beveiligingsteam van PHP over de juiste oplossing en doordat er een relatief klein team is van ontwikkelaars met de benodigde kennis.

PHP Foundation zegt dat processen worden aangepast om vertragingen als deze in de toekomst te voorkomen. Zo wil de stichting dat het beveiligingsteam voortaan besluiten kan nemen met een meerderheid van de stemmen in plaats van dat iedereen het eens moet zijn.

Het Amerikaanse cybersecuritybedrijf Wiz zegt dat de kwetsbaarheden al ruim tien jaar in PHP zaten. Wiz heeft naar eigen zeggen de weeffouten met behulp van kunstmatige intelligentie opgespoord. Het cybersecuritybedrijf spreekt van de “ernstigste kwetsbaarheden die ooit door AI zijn ontdekt”.

“Met de geavanceerdste AI-modellen en het juiste gereedschap slaagde een enkele onderzoeker binnen een week in iets wat een topteam voorheen maanden werk zou hebben gekost.”

Volgens Wiz heeft dit wel twee kanten. Beveiligingsbedrijven kunnen zodoende fouten die jarenlang onopgemerkt bleven opsporen en verhelpen, maar de schaduwzijde is dat het dankzij AI voor criminelen sneller lonend is om weeffouten uit te buiten.

Over de hele wereld krijgen bedrijven en organisaties het advies om de de update van programmeertaal PHP te installeren. Zo komen onder meer de Amerikaanse veiligheidsdienst National Security Agency (NSA) en de Japanse premier Takaichi met die oproep.

De eerste websites zijn weer online nadat de beveiligingsupdate van programmeertaal PHP is vrijgegeven. Zo zijn de website en app van RTL en de techwebsite Tweakers weer in de lucht.

Het kabinet heeft voor het eerst gereageerd op het grote beveiligingslek van programmeertaal PHP. Minister Van Weel van Justitie en Veiligheid zegt dat het feit dat veel websites vanwege twee grote lekken uit voorzorg offline zijn gehaald “impact heeft in onze digitale samenleving”.

“Er zijn op dit moment gelukkig nog geen signalen dat de kwetsbaarheden actief misbruikt worden”, laat Van Weel via zijn woordvoerder weten.

De beveiligingsupdate van PHP is inmiddels dus beschikbaar, maar veel websites zijn nog uit de lucht vanwege het grote beveiligingslek. Hoe kwam dit lek aan het licht, wat is PHP en hoe ernstig is dit lek? Deze en andere vragen beantwoordt techredacteur Joost Schellevis in onderstaand artikel.

De update van programmeertaal PHP is beschikbaar. Dat is iets eerder dan verwacht. De organisatie achter PHP had het eerder over 16.00 uur.

Een programmeertaal is een taal waarmee je een computer vertelt wat hij moet doen. Net zoals je taal gebruikt om met mensen te communiceren, gebruiken programmeurs programmeertalen om websites, apps en software te bouwen.

Als alles goed gaat, zouden websites op relatief korte termijn weer moeten werken. Al kunnen er altijd toch problemen optreden.

Zo zou het kunnen dat veel meer mensen dan normaal opeens een PHP-update willen downloaden, waardoor de servers overbelast raken. Ook kunnen software-updates altijd misgaan. De kans dat de bewuste websites later vanavond of zelfs morgen nog offline zijn, lijkt echter klein.

Naast overheidswebsites van België en Nederland zijn ook websites van de overheden van Frankrijk en Finland uit de lucht.

Zo meldt het Franse ministerie van Binnenlandse Zaken dat het de websites van lokale overheidsinstanties tijdelijk offline heeft gehaald, in afwachting van een beveiligingsupdate voor PHP.

“Uit voorzorg zijn de websites van de prefecturen tijdelijk offline gehaald, totdat de ontwikkelaar een beveiligingsupdate doorvoert”, aldus het ministerie in een verklaring.

Ook verschillende goede doelen hebben hun website uit voorzorg ook uit de lucht gehaald, zoals KWF Kankerbestrijding, de Hartstichting, Oxfam Novib, Amnesty International en Islamic Relief Nederland.

Uitkeringsinstantie UWV heeft uit voorzorg sommige applicaties offline gehaald vanwege het lek bij PHP. Het gaat om een tool waarmee mensen die in de ziektewet zitten zichzelf bijvoorbeeld weer beter kunnen melden.

De website van het UWV zelf is wel bereikbaar. Het offline halen van deze applicatie heeft daar geen invloed op.

“Inloggen via DigiD voor UWV-dienstverlening is nog steeds mogelijk, dus dit heeft verder geen impact op onze dienstverlening”, meldt een woordvoerder aan persbureau ANP. “Uiteraard blijft UWV de hele situatie zeer nauwkeurig monitoren.”

De NPO heeft voor de zekerheid het systeem waarmee nieuwe content op streamingplatforms NPO Start en NPO Luister worden geüpload, offline gehaald. Nieuwe afleveringen, podcasts en radiofragmenten die eigenlijk deze middag gepubliceerd zouden worden, verschijnen daardoor pas later.

Verder is het momenteel niet mogelijk om films te kijken via de website of app van streamingdienst Pathé Thuis. Normaal gesproken kan je via die streamingdienst films zonder abonnement huren of kopen.

Alle Vlaamse overheidswebsites gaan tijdelijk offline. Dat zegt de Vlaamse minister-president Diependaele. “Zo beperken we de risico’s en beschermen we onze digitale infrastructuur”, schrijft hij op X.

Ook een aantal andere Belgische sites zijn offline gegaan vanwege het PHP-lek. Zo is ziekenhuis AZ Monica in Antwerpen op zwart gegaan en is digitaal schoolplatform Smartschool niet meer in de lucht. Ook de websites van Roularta Media Group zijn offline. Het gaat onder meer om Knack.be en Libelle.be.

De lekken in programmeertaal PHP duiden niet meteen op een inbraak. “Het is niet zozeer een aanval, maar een weeffout die in de software zit en dat kan gebeuren”, zegt Corine Schipper-Derkse, plaatsvervangend directeur van het Nationaal Cyber Security Centrum (NCSC).

De organisatie achter PHP komt om 16.00 uur met een update om de lekken te dichten, een zogeheten patch. De NCSC roept bedrijven en organisaties op om de update direct te installeren “zodat het gat gedicht is”.

Bij een aangetroffen kwetsbaarheid wil je die patch liefst klaar hebben staan voordat het lek bekend wordt, zegt Schipper-Derkse. “Dat is nu niet het geval en daarmee telt elke minuut. Tegelijkertijd is er een alternatief, namelijk om websites bij een risicoanalyse offline te halen. Dat is aan elke organisatie zelf.”

Veel organisaties hebben hun website inmiddels ook offline gehaald, zoals overheidsorganisaties DigiD en MijnOverheid en ziekenhuizen. DigiD is nog wel te gebruiken om in te loggen via allerlei systemen.

Meerdere ziekenhuizen hebben hun websites uit de lucht gehaald. Onder meer de websites van het Jeroen Bosch Ziekenhuis in Den Bosch, het Albert Schweitzer Ziekenhuis in Dordrecht, het Haaglanden MC en het St. Antonius Ziekenhuis in Nieuwegein zijn niet bereikbaar.

Dat geldt ook voor bijvoorbeeld het Bravis ziekenhuis in Roosendaal en Bergen op Zoom en het Elisabeth-TweeSteden Ziekenhuis in Tilburg en Waalwijk.

Er is geen indicatie dat er actief misbruik wordt gemaakt van het softwarelek in de programmeertaal PHP. Dat zegt de Amerikaanse PHP Foundation desgevraagd tegen persbureau ANP. Circa 70 procent van alle websites gebruikt PHP of een variatie daarop.

In de Schiphol-app zijn vanwege het PHP-lek geen actuele vluchtgegevens meer te zien. De luchthaven adviseert reizigers de website van Schiphol te raadplegen. “We volgen de ontwikkelingen op de voet en informeren je op het moment dat er nieuwe maatregelen nodig zijn”, staat op de website.

Ook de websites van voetbalbond KNVB zijn offline gehaald, net als de websites van enkele voetbalclubs, zoals FC Twente, Fortuna Sittard en Willem II.

Verder is de website van de Unie van Waterschappen op zwart gegaan. “We doen er alles aan om de website zo snel mogelijk weer online te brengen”, meldt de vereniging van de 21 waterschappen in Nederland.

PHP is een van de meest gebruikte programmeertalen. Hoewel het marktaandeel van PHP al jaren afneemt, gebruikt het overgrote deel van de websites de taal nog steeds. Die werd ontwikkeld door de Deens-Canadese programmeur Rasmus Lerdorf. De eerste versie werd in 1995 gelanceerd.

De app en website van RTL zijn iets na 13.00 uur offline gegaan. Het bedrijf kondigde al aan ze uit de lucht te halen vanwege het PHP-lek. “RTL.nl is tijdelijk niet bereikbaar, omdat we een dringende beveiligingsupdate uitvoeren”, staat er als je naar de website probeert te gaan.

Verder schrijft RTL “er alles aan te doen om de website zo snel mogelijk weer online te brengen”.

Wie de RTL-app probeert te raadplegen, krijgt een pop-upscherm te zien. “We kunnen geen verbinding maken met RTL, controleer de internetverbinding en probeer het later opnieuw”, valt te lezen.

Moederbedrijf Ahold Delhaize denkt niet dat de cyberaanval bij Albert Heijn van anderhalve week geleden verband houdt met de kwetsbaarheden in PHP. “Voor zover we nu kunnen overzien, is er geen aanleiding om dit aan te nemen”, zegt een woordvoerder tegen persbureau ANP.

In tegenstelling tot het Amerikaanse Cloudflare, dat voor veel populaire websites als een soort firewall fungeert, heeft het Nationaal Cyber Security Centrum (NCSC) nog geen actief misbruik van het lek gezien. Het expertisecentrum drukt desondanks bedrijven op het hart om PHP zo snel mogelijk te updaten.

“Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar”, schrijft de instantie.

Meerdere provincies hebben technische problemen, omdat het bedrijf NotuBiz, dat diensten levert aan overheden, is uitgeschakeld.

De website van de provincie Groningen is niet bereikbaar. Daardoor kan een commissievergadering niet via een livestream worden gevolgd. De provincie meldt dat de stream van de Statenvergadering later kan worden teruggekeken.

Een vergadering in Friesland wordt via het YouTube-kanaal van de provincie uitgezonden en kan ook worden teruggekeken. Gelderland laat weten dat het Stateninformatiesysteem niet bereikbaar is. Daarin worden officiële documenten en vergaderstukken gepubliceerd.

Ook de website van de Tweede Kamer is uit voorzorg offline gehaald in verband met het PHP-lek. “Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen”, aldus een woordvoerder. “Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server.”

Verschillende bedrijven en organisaties halen uit voorzorg websites uit de lucht in verband met twee grote lekken in programmeertaal PHP. Onder meer DigiD.nl en MijnOverheid.nl liggen daardoor plat.

Lees hier ons overzichtsverhaal: