Deze Nederlandse websites waren offline vanwege weerloos PHP

Volgens meldingen op de websites is dat gebeurd "voor onderhoud", zonder dat daarbij PHP wordt genoemd. Ook de websites van politievakbond ACP, apothekerskoepel KNMP en voetbalclub Fortuna Sittard zijn offline. De website van DigiD was ook offline, maar de app werkte nog wel.

De kwetsbaarheden in de programmeertaal maken het mogelijk om van afstand een server aan te sturen. Op die manier kunnen kwaadwillenden controle krijgen over de server. Wereldwijd draait circa 70 procent van de websites op PHP of toepassingen daarvan. Een van de grootste daarvan is WordPress.

Niet alle bedrijven kozen ervoor hun diensten offline te halen. Zo draaien bij Picnic de bestelapp en de belangrijkste systemen niet op PHP. De website van de bezorgdienst maakt wel gebruik van PHP, maar het bedrijf vindt het niet nodig om die offline te halen omdat je er niet kunt bestellen.

Ook NS voorzag geen problemen. "We waren door goede contacten met experts gisteravond al vroeg op de hoogte", zegt een woordvoerder. "Onze teams zitten klaar om maatregelen te nemen." Volgens de NS hebben de genoemde kwetsbaarheden "geen impact".

Het Nationaal Cyber Security Centrum (NCSC) heeft nog geen "actief misbruik" gezien na het bekend worden van de kwetsbaarheden. Wel adviseert het bedrijf organisaties nadrukkelijk om woensdag voorbereidingen te treffen zodat de updates zo snel mogelijk kunnen worden geïnstalleerd als ze eenmaal vrijkomen.

Zolang een systeem dat PHP gebruikt geen update heeft doorgevoerd, is het kwetsbaar. Ook de website van het NCSC zelf is offline.

PHP zegt dat om 16.00 uur een belangrijke veiligheidsupdate voor de programmeertaal wordt gepubliceerd. Er zijn twee "kritieke kwetsbaarheden" gevonden in het systeem. Om eventuele aanvallen op die kwetsbaarheden te voorkomen wordt bedrijven geadviseerd uit voorzorg de diensten die gebruikmaken van PHP offline te halen.

Bedrijven krijgen daarnaast het dringende advies de updates meteen door te voeren zodra PHP die woensdagmiddag vrijgeeft. Criminelen zitten op dat tijdstip namelijk klaar om snel een script te schrijven voor een aanval op bedrijven die PHP gebruiken. Bij een snelle update kunnen bedrijven dat voor zijn.