NEDERLAND – Talloze websites van overheidsinstanties, bedrijven en organisaties zijn woensdag uit voorzorg offline gehaald vanwege ernstige beveiligingslekken in de veelgebruikte programmeertaal PHP. Onder meer de websites van de Tweede Kamer, MijnOverheid, DigiD en verschillende gemeenten zijn niet bereikbaar. De maatregel moet voorkomen dat hackers misbruik maken van twee kritieke kwetsbaarheden. Ook al onze eigen websites van XYTO Media liggen er tot nader order uit.

Ook de websites van openbaarvervoerbedrijf EBS, politievakbond ACP, apothekersorganisatie KNMP en voetbalclub Fortuna Sittard zijn woensdag offline. Daarnaast is het computernetwerk van verschillende hogescholen en universiteiten getroffen door de voorzorgsmaatregelen. De DigiD-website is eveneens niet bereikbaar, maar de bijbehorende app werkt nog wel.

Op veel van de getroffen websites wordt gesproken over onderhoud, zonder dat daarbij expliciet melding wordt gemaakt van de beveiligingsproblemen met PHP.

Ernstige kwetsbaarheden in veelgebruikte software

De onrust is ontstaan nadat twee kritieke beveiligingslekken werden ontdekt in PHP, een programmeertaal die wereldwijd op grote schaal wordt gebruikt voor websites en online toepassingen. De kwetsbaarheden kunnen kwaadwillenden in staat stellen om op afstand opdrachten uit te voeren op servers en mogelijk de controle daarover over te nemen.

Naar schatting maakt ongeveer 70 procent van alle websites wereldwijd gebruik van PHP of toepassingen die daarop zijn gebaseerd. Ook het populaire contentmanagementsysteem WordPress maakt gebruik van deze programmeertaal.

Niet alle organisaties achten het noodzakelijk hun websites tijdelijk uit te schakelen. Zo verwacht de Nederlandse Spoorwegen geen problemen. Volgens een woordvoerder was de NS dinsdagavond al vroeg op de hoogte dankzij contacten met beveiligingsexperts. De ontdekte kwetsbaarheden zouden geen gevolgen hebben voor de systemen van het spoorbedrijf.

Belangrijke veiligheidsupdate woensdagmiddag verwacht

Het Nationaal Cyber Security Centrum (NCSC), waarvan de website eveneens offline is, heeft vooralsnog geen aanwijzingen dat de beveiligingslekken actief worden misbruikt. Toch worden organisaties dringend geadviseerd voorzorgsmaatregelen te nemen en zich voor te bereiden op het installeren van beveiligingsupdates.

De ontwikkelaars van PHP hebben aangekondigd woensdag om 16.00 uur een belangrijke veiligheidsupdate beschikbaar te stellen. Daarmee moeten de twee kritieke kwetsbaarheden worden verholpen.

Organisaties die gebruikmaken van kwetsbare PHP-systemen krijgen het advies hun diensten zo nodig tijdelijk offline te halen. Zodra de updates beschikbaar zijn, kunnen deze worden geïnstalleerd om het risico op cyberaanvallen zoveel mogelijk te beperken.

Update 19.10 uur: Inmiddels zijn wij als XYTO Media weer actief met al onze websites.