Ook MijnOverheid.nl is weer in de lucht. De website van DigiD is nog steeds offline, al is het wel mogelijk om met DigiD in te loggen op andere websites.
PHP Foundation: vertraging bij oplossen van zwakke plekken ‘structurele fout’
Een oplossing voor een zwakke plek in programmeertaal PHP liet lang op zich wachten, vindt de Amerikaanse PHP Foundation. Die zegt er “geen doekjes om te winden” en spreekt van een “structurele fout”.
Dat een oplossing lang duurde, komt volgens de stichting achter PHP door een gebrek aan overeenstemming binnen het beveiligingsteam van PHP over de juiste oplossing en doordat er een relatief klein team is van ontwikkelaars met de benodigde kennis.
PHP Foundation zegt dat processen worden aangepast om vertragingen als deze in de toekomst te voorkomen. Zo wil de stichting dat het beveiligingsteam voortaan besluiten kan nemen met een meerderheid van de stemmen in plaats van dat iedereen het eens moet zijn.
Cybersecuritybedrijf Wiz: kwetsbaarheden zaten ruim tien jaar in PHP
Het Amerikaanse cybersecuritybedrijf Wiz zegt dat de kwetsbaarheden al ruim tien jaar in PHP zaten. Wiz heeft naar eigen zeggen de weeffouten met behulp van kunstmatige intelligentie opgespoord. Het cybersecuritybedrijf spreekt van de “ernstigste kwetsbaarheden die ooit door AI zijn ontdekt”.
“Met de geavanceerdste AI-modellen en het juiste gereedschap slaagde een enkele onderzoeker binnen een week in iets wat een topteam voorheen maanden werk zou hebben gekost.”
Volgens Wiz heeft dit wel twee kanten. Beveiligingsbedrijven kunnen zodoende fouten die jarenlang onopgemerkt bleven opsporen en verhelpen, maar de schaduwzijde is dat het dankzij AI voor criminelen sneller lonend is om weeffouten uit te buiten.
Wereldwijd oproepen om updates te installeren
Over de hele wereld krijgen bedrijven en organisaties het advies om de de update van programmeertaal PHP te installeren. Zo komen onder meer de Amerikaanse veiligheidsdienst National Security Agency (NSA) en de Japanse premier Takaichi met die oproep.
Justitieminister Van Weel: offline halen websites heeft impact op samenleving
Het kabinet heeft voor het eerst gereageerd op het grote beveiligingslek van programmeertaal PHP. Minister Van Weel van Justitie en Veiligheid zegt dat het feit dat veel websites vanwege twee grote lekken uit voorzorg offline zijn gehaald “impact heeft in onze digitale samenleving”.
“Er zijn op dit moment gelukkig nog geen signalen dat de kwetsbaarheden actief misbruikt worden”, laat Van Weel via zijn woordvoerder weten.
Beveiligingsupdate PHP staat online
De update van programmeertaal PHP is beschikbaar. Dat is iets eerder dan verwacht. De organisatie achter PHP had het eerder over 16.00 uur.
Een programmeertaal is een taal waarmee je een computer vertelt wat hij moet doen. Net zoals je taal gebruikt om met mensen te communiceren, gebruiken programmeurs programmeertalen om websites, apps en software te bouwen.
Hoe nu verder?
Als alles goed gaat, zouden websites op relatief korte termijn weer moeten werken. Al kunnen er altijd toch problemen optreden.
Zo zou het kunnen dat veel meer mensen dan normaal opeens een PHP-update willen downloaden, waardoor de servers overbelast raken. Ook kunnen software-updates altijd misgaan. De kans dat de bewuste websites later vanavond of zelfs morgen nog offline zijn, lijkt echter klein.
Overheden Frankrijk en Finland ook uit de lucht
Naast overheidswebsites van België en Nederland zijn ook websites van de overheden van Frankrijk en Finland uit de lucht.
Zo meldt het Franse ministerie van Binnenlandse Zaken dat het de websites van lokale overheidsinstanties tijdelijk offline heeft gehaald, in afwachting van een beveiligingsupdate voor PHP.
“Uit voorzorg zijn de websites van de prefecturen tijdelijk offline gehaald, totdat de ontwikkelaar een beveiligingsupdate doorvoert”, aldus het ministerie in een verklaring.
Websites KWF, Hartstichting en andere goede doelen ook offline
Ook verschillende goede doelen hebben hun website uit voorzorg ook uit de lucht gehaald, zoals KWF Kankerbestrijding, de Hartstichting, Oxfam Novib, Amnesty International en Islamic Relief Nederland.
UWV haalt tool offline voor ziek en beter melden
Uitkeringsinstantie UWV heeft uit voorzorg sommige applicaties offline gehaald vanwege het lek bij PHP. Het gaat om een tool waarmee mensen die in de ziektewet zitten zichzelf bijvoorbeeld weer beter kunnen melden.
De website van het UWV zelf is wel bereikbaar. Het offline halen van deze applicatie heeft daar geen invloed op.
“Inloggen via DigiD voor UWV-dienstverlening is nog steeds mogelijk, dus dit heeft verder geen impact op onze dienstverlening”, meldt een woordvoerder aan persbureau ANP. “Uiteraard blijft UWV de hele situatie zeer nauwkeurig monitoren.”
Nieuwe afleveringen verschijnen later op NPO Start
De NPO heeft voor de zekerheid het systeem waarmee nieuwe content op streamingplatforms NPO Start en NPO Luister worden geüpload, offline gehaald. Nieuwe afleveringen, podcasts en radiofragmenten die eigenlijk deze middag gepubliceerd zouden worden, verschijnen daardoor pas later.
Verder is het momenteel niet mogelijk om films te kijken via de website of app van streamingdienst Pathé Thuis. Normaal gesproken kan je via die streamingdienst films zonder abonnement huren of kopen.
Overheidswebsites op zwart in België
Alle Vlaamse overheidswebsites gaan tijdelijk offline. Dat zegt de Vlaamse minister-president Diependaele. “Zo beperken we de risico’s en beschermen we onze digitale infrastructuur”, schrijft hij op X.
Ook een aantal andere Belgische sites zijn offline gegaan vanwege het PHP-lek. Zo is ziekenhuis AZ Monica in Antwerpen op zwart gegaan en is digitaal schoolplatform Smartschool niet meer in de lucht. Ook de websites van Roularta Media Group zijn offline. Het gaat onder meer om Knack.be en Libelle.be.
Oproep NCSC aan bedrijven en organisaties: installeer update direct
De lekken in programmeertaal PHP duiden niet meteen op een inbraak. “Het is niet zozeer een aanval, maar een weeffout die in de software zit en dat kan gebeuren”, zegt Corine Schipper-Derkse, plaatsvervangend directeur van het Nationaal Cyber Security Centrum (NCSC).
De organisatie achter PHP komt om 16.00 uur met een update om de lekken te dichten, een zogeheten patch. De NCSC roept bedrijven en organisaties op om de update direct te installeren “zodat het gat gedicht is”.
Bij een aangetroffen kwetsbaarheid wil je die patch liefst klaar hebben staan voordat het lek bekend wordt, zegt Schipper-Derkse. “Dat is nu niet het geval en daarmee telt elke minuut. Tegelijkertijd is er een alternatief, namelijk om websites bij een risicoanalyse offline te halen. Dat is aan elke organisatie zelf.”
Veel organisaties hebben hun website inmiddels ook offline gehaald, zoals overheidsorganisaties DigiD en MijnOverheid en ziekenhuizen. DigiD is nog wel te gebruiken om in te loggen via allerlei systemen.
Ook Unie van Waterschappen en KNVB uit de lucht
Ook de websites van voetbalbond KNVB zijn offline gehaald, net als de websites van enkele voetbalclubs, zoals FC Twente, Fortuna Sittard en Willem II.
Verder is de website van de Unie van Waterschappen op zwart gegaan. “We doen er alles aan om de website zo snel mogelijk weer online te brengen”, meldt de vereniging van de 21 waterschappen in Nederland.
Website en app van RTL offline
De app en website van RTL zijn iets na 13.00 uur offline gegaan. Het bedrijf kondigde al aan ze uit de lucht te halen vanwege het PHP-lek. “RTL.nl is tijdelijk niet bereikbaar, omdat we een dringende beveiligingsupdate uitvoeren”, staat er als je naar de website probeert te gaan.
Verder schrijft RTL “er alles aan te doen om de website zo snel mogelijk weer online te brengen”.
Wie de RTL-app probeert te raadplegen, krijgt een pop-upscherm te zien. “We kunnen geen verbinding maken met RTL, controleer de internetverbinding en probeer het later opnieuw”, valt te lezen.
NCSC: nog geen actief misbruik gezien
In tegenstelling tot het Amerikaanse Cloudflare, dat voor veel populaire websites als een soort firewall fungeert, heeft het Nationaal Cyber Security Centrum (NCSC) nog geen actief misbruik van het lek gezien. Het expertisecentrum drukt desondanks bedrijven op het hart om PHP zo snel mogelijk te updaten.
“Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar”, schrijft de instantie.
Meerdere provincies hebben technische problemen, omdat het bedrijf NotuBiz, dat diensten levert aan overheden, is uitgeschakeld.
De website van de provincie Groningen is niet bereikbaar. Daardoor kan een commissievergadering niet via een livestream worden gevolgd. De provincie meldt dat de stream van de Statenvergadering later kan worden teruggekeken.
Een vergadering in Friesland wordt via het YouTube-kanaal van de provincie uitgezonden en kan ook worden teruggekeken. Gelderland laat weten dat het Stateninformatiesysteem niet bereikbaar is. Daarin worden officiële documenten en vergaderstukken gepubliceerd.
