Wat is PHP en welk probleem ontstond er? 'Weeffout in programmeertaal'

"Er zijn twee kwetsbaarheden geconstateerd in PHP", zegt Schipper-Derkse. "PHP is een programmeertaal waarmee websites en applicaties worden gebouwd. De kwetsbaarheden die vandaag zijn geconstateerd, zijn gemakkelijk te misbruiken."

Schipper-Derkse slaat nog geen groot alarm. Volgens haar is er sprake van een weeffout in software die kan worden gerepareerd. Die reparatie stond gepland om 16.00 uur, maar stond een kwartier eerder al klaar. "Het is dus geen aanval, maar een kwetsbaarheid die hier in de software zit." Wel roept ze alle gebruikers op de reparatie direct door te voeren: "Zit klaar en voer 'm door, zodat het gat gedicht is."

In Nederland maken volgens de cybersecuritywaakhond heel veel websites gebruik van PHP. Woensdag gingen veel websites uit voorzorg offline, waaronder overheidssites als die van het RIVM en de Tweede Kamer, entertainmentsites als Pathé Thuis en meerdere media. Ook de ANWB, telecomproviders en sites en apps van ziekenhuizen gingen op zwart.

De risico's van de problemen verschillen per website. "Zo zijn de risico's bij een webshop waarop betalingsverkeer plaatsvindt groter dan bij een website waarop alleen informatie te vinden is", zegt Schipper-Derkse.

De organisatie achter PHP kondigde maandag aan dat er woensdag een oplossing zou komen voor een probleem. Hackers pakten die aankondiging aan om het precieze lek te lokaliseren.

Iedere organisatie maakt volgens Schipper-Derkse een eigen risicoafweging. "Daar zijn ze zelf verantwoordelijk voor." PHP kan commando's geven aan de achterkant van een website. Bij sites waarop betalingen plaatsvinden, kan de impact groter zijn als kwaadwillenden ermee aan de haal gaan. Dan kunnen er orders worden uitgevoerd aan de achterkant.

Het NSCS heeft verschillende groepen sinds de nacht van dinsdag op woensdag geïnformeerd over de kwetsbaarheden en ze verteld hoe ze voorzorgsmaatregelen kunnen nemen.

In het buitenland, waar ook veelvuldig gebruik wordt gemaakt van PHP, lijken sites minder snel offline te gaan. "Die lijken een andere risicoanalyse te maken dan wij. Onze cybersecuritywaakhondcollega's in Europa doen hetzelfde qua communicatie", zegt Schipper-Derkse, die in nauw contact staat met EU-collega's.

Zodra de reparatie is doorgevoerd, kunnen veel sites weer online. Dat kan bij de ene site sneller gaan dan bij de andere. "Maar dat ligt aan de updates die nodig zijn bij de desbetreffende organisaties."