NOS NieuwsAangepast
Verschillende bedrijven en organisaties halen uit voorzorg websites uit de lucht in verband met twee grote lekken in programmeertaal PHP. Het gaat onder meer om MijnOverheid.nl, DigiD, de website van de Tweede Kamer. De nieuwssite en app van RTL en de populaire techwebsite Tweakers zijn ook getroffen.
Ook het Nationaal Cyber Security Centrum (NCSC) van de overheid heeft zijn website uit de lucht gehaald, net als de Autoriteit Persoonsgegevens.
Ook verschillende systemen in het hoger onderwijs zijn offline gehaald, meldt persbureau ANP, al is niet direct duidelijk om welke sites het gaat.
Vanochtend werd Notubiz al uit de lucht gehaald, een systeem waarmee honderd gemeenten vergaderen. Ook persbureau ANP heeft uit voorzorg systemen offline gehaald.
De vrees van veel organisaties is dat de grote lekken in PHP kunnen worden misbruikt om in te breken in systemen. Door die lekken is het voor hackers een stuk makkelijker om achterdeurtjes in websites te vinden en die te misbruiken.
Het Amerikaanse Cloudflare, dat voor veel populaire websites als een soort firewall fungeert, ziet inmiddels de eerste aanvallen voorbijkomen. De firewall van Cloudflare vangt pogingen af om het lek te misbruiken, belooft het bedrijf, maar dat is niet waterdicht.
Het NCSC heeft nog geen actief misbruik van het lek gezien, maar drukt bedrijven in Nederland op het hart om PHP zo snel mogelijk te updaten. “Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar”, schrijft de instantie.
Updaten kan nu nog niet. Een permanente oplossing komt vanmiddag om 16.00 uur. Gisteren kondigde de organisatie achter PHP al een oplossing aan voor het probleem, maar in de tussentijd lijken hackers een manier te hebben gevonden om het probleem te misbruiken.
PHP is een van de meest gebruikte programmeertalen. Hoewel het marktaandeel van PHP al jaren afneemt, gebruikt het overgrote deel van de websites de taal nog steeds.
Het gevonden lek is een van de ernstigste categorieën. Aanvallers die het lek weten te vinden, kunnen zelf eigen programmeercode uitvoeren op het aangevallen systeem. Daarmee kunnen ze verder doordringen in een website en bijvoorbeeld zelfs gebruikersdata stelen.
Ethisch hackers vinden aan de lopende band beveiligingsproblemen in software. Meestal worden die gedicht voordat hackers de problemen op grote schaal kunnen misbruiken. Als het wel misgaat, kunnen de gevolgen groot zijn. Zo ging het Openbaar Ministerie in 2025 gedwongen offline na zo’n zogenoemd zero day-lek.
