Hallo en welkom in dit liveblog. Hier houden we je op de hoogte van de laatste ontwikkelingen rond de kwetsbaarheden in PHP. Heb je een vraag of tips? Mail die naar redactie@nu.nl.

Steeds meer sites komen weer online na de PHP-update die woensdagmiddag is verschenen. Daarmee beëindigen we voor nu ons liveblog. We hopen je elders op de site verder te informeren over de PHP-ontwikkelingen! Voor nu bedanken we je voor het lezen van dit blog.

Ook gemeentesites zijn langzaamaan weer beschikbaar
Ook de sites van verschillende gemeenten, zoals Eindhoven en Lochem, zijn weer online. Die van de gemeentes Zwolle, Maastricht, Den Bosch, Emmen en Maassluis zijn nog uit de lucht. Het bedrijf achter Notubiz, het programma waarmee gemeenten hun officiële berichten met raadsleden en inwoners versturen, wil vanavond eerst testen of de veiligheidsupdates goed zijn doorgevoerd. Daarom is de informatie op de sites waarschijnlijk pas morgenochtend weer beschikbaar.

Websites van ziekenhuizen ook weer online
De websites van verschillende ziekenhuizen komen na het installeren van de veiligheidsupdate ook weer online. De websites van onder andere ziekenhuis Amphia in Breda, Frisius MC in Leeuwarden en Heerenveen, het Jeroen Bosch Ziekenhuis in Den Bosch, Maastricht UMC+ en het St. Jans Gasthuis in Weert zijn weer te bereiken. Nij Smellinghe in Drachten zegt dat de site het weer doet, maar dat "nog niet alle functionaliteiten volledig beschikbaar" zijn. Andere ziekenhuissites zijn nog wel uit de lucht.

Volgens de Nederlandse Vereniging van Ziekenhuizen is er "op dit moment geen aanleiding om aan te nemen dat een van onze leden als gevolg van het lek gehackt is".

Zwakke plekken in PHP werden dinsdag gelekt
Volgens de PHP Foundation, de stichting achter de programmeertaal, lekte de informatie over de zwakke plekken gisteren uit. Vervolgens ging die op sociale media rond, waardoor het misbruikt kon worden. De veiligheidsupdates zouden eigenlijk later deze week worden ingevoerd.

Website van meerdere politieke partijen weer online
De websites van CDA, JA21, de BBB en de Partij voor de Dieren zijn weer online. Die van de VVD, PRO, D66, de ChristenUnie, de SGP, Volt en Denk zijn nog niet te bereiken. De website van de Tweede Kamer is ook nog steeds offline.

Jetten: DigiD en MijnOverheid weer online zodra dat veilig kan
Premier Rob Jetten schrijft op X dat het kabinet de situatie rond PHP "nauwgezet". Volgens hem komen websites als DigiD en MijnOverheid weer online "zodra dat veilig kan".

Meeste websites van DPG weer online
Na de website van RTL Nieuws is ook de website Tweakers weer te bereiken. DPG Media, waar beide onder vallen, laat weten dat de meeste websites en apps van het bedrijf weer online zijn nu de software-update is uitgevoerd. "Er zijn tot nu toe geen aanwijzingen dat er incidenten hebben plaatsgevonden. De komende tijd blijven we de situatie monitoren", zegt het bedrijf.

PHP: vertraging van oplossing voor zwakke plek was structureel falen
Een oplossing voor een zwakke plek in PHP die onlangs bekend werd liet te lang op zich wachten. Volgens de stichting achter de programmeertaal was dat structureel falen "structureel falen". Zo zou in 2024 al het vermoeden zijn ontstaan dat een bepaalde kwetsbaarheid kon worden misbruikt, maar het werk aan een fix liep telkens vast door een gebrek aan overeenstemming binnen het beveiligingsteam over de juiste oplossing. Daarnaast was er maar een relatief klein team van ontwikkelaars met de kennis voor zo'n oplossing.

Kwetsbaarheden in PHP al ruim tien jaar oud
Volgens cyberbeveiliger Wiz zijn de kwetsbaarheden in PHP al zeker tien jaar oud. "De kwetsbare code zat er al ruim een decennium. Wat is veranderd door AI, is de mogelijkheid om de zwakke plekken te doorgronden en ze te misbruiken", schrijft het bedrijf, dat in maart door Google werd gekocht. "Met de geavanceerdste AI-modellen en het juiste gereedschap slaagde een enkele onderzoeker binnen een week in iets wat een topteam voorheen maanden werk zou hebben gekost."

Wiz zegt de zwakke plekken in de programmeertaal te hebben opgespoord met AI. Volgens hen brengt dit een kentering teweeg in de manier waarop zwakke plekken worden opgespoord of misbruikt. Door AI kunnen cybercriminelen snel kwetsbaarheden uitbuiten, maar beveiligers hebben ook de mogelijkheid om oude fouten op te lossen.

Computernetwerk van scholen en universiteiten weer volledig beschikbaar
De diensten van SURF, het computernetwerk dat universiteiten, hogescholen, mbo's en onderzoeksinstellingen gebruiken, is sinds het einde van de middag weer beschikbaar. Het bedrijf achter het systeem heeft de updates voor PHP doorgevoerd. Wel waarschuwt het bedrijf dat het nog even kan duren voordat alle diensten weer online zijn. Het bedrijf verwacht alle diensten uiterlijk morgenochtend weer "veilig beschikbaar te hebben".

RTL Nieuws is weer online
De site en de app van RTL Nieuws is weer online nadat die tijdelijk uit de lucht was gehaald. Het is nog niet duidelijk of ook andere sites al online zijn.

Waarschuwing voor cyberaanvallen in komende uren
Experts waarschuwen voor cyberaanvallen "in de komende uren", schrijft onder meer VRT NWS. Nu de veiligheidsupdate online is, zijn organisaties druk bezig met het doorvoeren van de update. Maar dat weten eventuele kwaadwillenden ook, wat het moment van updaten "kwetsbaar voor cyberaanvallen" maakt.

Dat veel websites offline zijn gehaald "heeft impact in onze digitale samenleving", zegt justitieminister David van Weel. Het is de eerste reactie vanuit het kabinet, terwijl er al een oplossing beschikbaar is. "Er zijn op dit moment gelukkig nog geen signalen dat de kwetsbaarheden actief misbruikt worden."

Kwetsbaarheden zijn ernstig
De gevonden kwetsbaarheden in de programmeertaal zijn ernstig. De zogenoemde CVE-scores van de zwaktes zijn in beide gevallen een 9.2 op een schaal van 1 tot 10. Dat laat zien hoe belangrijk het is dat organisaties snel handelen.

AI gebruikt om kwetsbaarheden te vinden
Het cybersecuritybedrijf Wiz heeft AI-tools gebruikt om de kwetsbaarheden in de PHP-programmeertaal te ontdekken. Het gaat om de "ernstigste beveiligingslekken die ooit door AI zijn ontdekt", zegt Wiz tegen Reuters. "Ze bleven meer dan tien jaar onopgemerkt."

Wat is PHP precies?
PHP is een programmeertaal die wereldwijd wordt gebruikt om websites aan te sturen. Dankzij PHP kan een website meer doen dan alleen tekst en afbeeldingen weergeven. Denk bijvoorbeeld aan zoekfuncties, reactiemogelijkheden en bestel- en betaalfuncties.

PHP werkt vooral achter de schermen. Wanneer iemand een website bezoekt, voert de server waarop de site draait diverse opdrachten uit. PHP verwerkt deze opdrachten en helpt de juiste informatie aan de bezoeker te leveren.

Als kwaadwillenden een zwakke plek misbruiken, kunnen zij mogelijk toegang krijgen tot gegevens of opdrachten uitvoeren op de server. In het ergste geval kunnen zij zelfs de controle over een website of de onderliggende server overnemen.

Stichting Ambulance Wens ondervindt last
Stichting Ambulance Wens kan door de PHP-kwestie momenteel niet bij de digitale planning. Daarin staat ook de informatie die nodig is voor de laatste wensen van morgen. Het is daardoor onzeker of de plannen door kunnen gaan.

De stichting hoopt vanavond weer veilig toegang te hebben en werkt ondertussen telefonisch verder. De wensen van vandaag gaan wel door.

Infomedics uit de lucht
Infomedics is ook uit de lucht. Dat is een plek waar zorgrekeningen kunnen worden betaald.

Websites mogelijk niet direct weer online na update
De updates staan online en kunnen worden ingezet. PHP adviseert organisaties om zo snel mogelijk te updaten. 

De Nationaal Cyber Security Centrum (NCSC) waarschuwt dat de sites na de updates mogelijk niet direct online kunnen. "Sommige websites kunnen een knop omzetten, maar voor andere websites kan het langer duren. Afhankelijk van welke versie ze gebruiken."

De update kan minuten of uren duren, maar ook langer. Het is mogelijk dat er later nog een nieuwe update beschikbaar wordt gesteld, mocht de eerste niet alle problemen kunnen oplossen, meldt de NCSC.

PHP-update is live
Volgens Cloudfare zijn de veiligheidsupdates van PHP inmiddels live, zegt topman Dane Knecht op X.

Ook TicketSwap heeft last van de zwaktes in de PHP-programmeertaal.

UWV haalt meerdere applicaties offline
Het UWV heeft bepaalde applicaties offline gehaald. Het gaat om toepassingen voor het ziek- en beter melden voor mensen die in de Ziektewet zitten, meldt een woordvoerder aan het ANP. Bezoekers kunnen nog steeds inloggen via DigiD.

Ook Japanse en Franse sites offline
In Japan en Frankrijk zijn ook websites offline gehaald. Het Japanse bureau voor cyberbeveiliging en cyberbeveiligingsfunctionarissen van de EU hebben een dezelfde waarschuwing als de Nederlandse cybersecuritywaakhond afgegeven.

Energiesector tijdelijk onbereikbaar
Energiebedrijf Eneco heeft een een aantal websites tijdelijk offline gehaald. Het gaat om de sites van dochter Agro Energy en een specifieke site over windturbines in België. Het merendeel van de sites kan volgens een woordvoerder veilig online blijven. "Ook onze essentiële systemen zijn niet geraakt door de kwetsbaarheden."

De sites van netbeheerders TenneT en Stedin zijn ook tijdelijk niet bereikbaar.

Stemmen op NS Publieksprijs is momenteel niet mogelijk
Mensen kunnen momenteel niet stemmen op de NS publieksprijs. De website waarop lezers kunnen stemmen is tijdelijk offline gehaald vanwege de PHP-kwestbaarheden.

Pathé Thuis onbereikbaar, nieuwe afleveringen later op NPO Start
De site en apps van streamingdienst Pathé Thuis zijn ook offline gehaald. Het is niet bekend hoe lang de dienst niet bereikbaar is. "Pathé Thuis doet er alles aan om de site en apps zo snel mogelijk weer online te brengen", zegt een woordvoerder. 

De NPO heeft het systeem waarmee nieuwe content op streamingplatforms NPO Start en NPO Luister wordt geüpload, uit voorzorg offline gehaald. Hierdoor worden nieuwe afleveringen, podcasts en radiofragmenten later gepubliceerd.

Netflix, Videoland en HBO doen het vooralsnog.

Buitenland lijkt minder te reageren
Wie zoekt naar buitenlandse sites, kan daar meestal terecht. Dat is opvallend, omdat PHP wereldwijd wordt gebruikt en Nederlandse sites massaal offline gaan. Volgens Corine Schipper-Derkse van het Nationaal Cyber Security Centrum wordt daar waarschijnlijk "een andere risicoanalyse" gemaakt.

Site veiligheidsregio's offline
Ook de sites van vrijwel alle veiligheidsregio's zijn offline gehaald vanwege de PHP-kwestie.

Wat is PHP precies?
PHP is een programmeertaal die wereldwijd wordt gebruikt om websites aan te sturen. Bijna 70 procent van alle websites op het internet zijn afhankelijk van PHP.

Dankzij PHP kan een website meer doen dan alleen tekst en afbeeldingen weergeven. PHP maakt interactie mogelijk tussen de website en de websitebezoeker. Denk bijvoorbeeld aan zoekfuncties, mogelijkheden om reacties achter te laten of een berichtje versturen via een contactformulier. Ook veel webwinkels maken gebruik van PHP, waardoor je producten kunt bestellen en betalen.

PHP werkt vooral achter de schermen. Wanneer iemand een website bezoekt, voert de server waarop de site draait diverse opdrachten uit. PHP verwerkt deze opdrachten en helpt de juiste informatie aan de bezoeker te leveren. Dat is een proces dat voor de gebruiker doorgaans onopgemerkt blijft.

Een beveiligingslek in PHP kan daarom ernstige gevolgen hebben. Als kwaadwillenden zo’n zwakke plek misbruiken, kunnen zij mogelijk toegang krijgen tot gegevens of opdrachten uitvoeren op de server. In het ergste geval kunnen zij zelfs de controle over een website of de onderliggende server overnemen.

Vlaamse overheidswebsites uit de lucht
De Vlaamse minister-president Matthias Diependaele laat uit voorzorg alle Vlaamse overheidswebsites offline halen, schrijft hij op X. Om welke sites het precies gaat is niet duidelijk.

"De continuïteit en veiligheid van de digitale dienstverlening voor onze burgers staan voorop", schrijft de minister-president. Door het tijdelijk offline halen "beperken we de risico's en beschermen we onze digitale infrastructuur".

Sites voor autotheorie op zwart
Wie vandaag autotheorie voor zijn wil oefenen, heeft ook last van de PHP-kwetsbaarheden. Meerdere sites waaronder Theorieiq.nl, Nationaaltheoriecentrum.nl en Theorie-leren.nl liggen eruit.

Site van Rotterdamse haven offline
De site van Havenbedrijf Rotterdam is tijdelijk onbereikbaar. Maar er zijn geen signalen dat de situatie tot concrete veiligheidsproblemen leidt. "Er is geen operationele impact op onze dienstverlening of havenprocessen", laat een woordvoerder aan het ANP weten. 

"We brengen in kaart waar deze technologie (PHP, red.) binnen onze systemen wordt gebruikt en nemen waar nodig maatregelen", zegt hij. "Via Ferm-zeehavens, de organisatie voor cybersecurity in de Nederlandse zeehavens, schakelen we daarnaast direct met deelnemende bedrijven en organisaties in de havens over de mogelijke gevolgen en te nemen maatregelen."

Ook de kinderopvang wordt getroffen
Ouders die hun kinderen naar Kindergarden brengen kunnen tijdelijk geen gebruikmaken van de app. De opvangketen heeft een mail gestuurd naar de ouders.

De sites van kinderopvangorganisaties Humankind, KION en Basker liggen eruit.

Medimo is offline gehaald vanwege de PHP-kwestie. Medimo wordt gebruikt om medicatie aan te reiken in de thuiszorg en verpleeghuiszorg. Volgens een lezer wordt "de noodprocedure voor Medimo" ingezet. Wat dat inhoudt, is nog niet duidelijk.

'Geen aanval, maar een weeffout'
De PHP-kwestie is geen aanval, maar een weeffout in programmeertaal, zei Corine Schipper-Derkse van het Nationaal Cyber Security Centrum op een persconferentie. Volgens haar is het een "kwetsbaarheid".

Meer websites tijdelijk uit de lucht
Ook hostingprovider MijnDomein heeft preventief alle websites die zij hosten offline gehaald. Het zou gaan om "honderdduizenden websites en diensten".

De Autoriteit Consument & Markt (ACM) geeft aan "tijdelijk niet bereikbaar te zijn vanwege onderhoud".

Daarbij is de website van de Unie van Waterschappen offline gehaald.

Site Duinrell uitgekleed
De ontdekte kwetsbaarheden hebben ook gevolgen voor de pretparkenbranche. Duinrell laat weten uit voorzorg zijn normale website en reserveringssysteem tijdelijk offline te hebben gehaald. Bezoekers kunnen nog wel tickets kopen voor het pretpark.

Websites van de Efteling, Attractiepark Slagharen en Walibi Holland zijn vooralsnog wel bereikbaar.

Thuisarts.nl niet bereikbaar
De website van Thuisarts, waar mensen informatie over verschillende aandoeningen kunnen vinden, is tijdelijk niet bereikbaar vanwege de PHP-kwetsbaarheden.

Ook telecomproviders geraakt
De websites van meerdere telecomproviders zijn geraakt. Het gaat onder meer om Simpel, Ben en Youfone.nl.

Websites Finse overheid ondervinden ook problemen
In Finland hebben meerdere overheidswebsites ook last van de PHP-kwestie. Naast de website van de overheid hebben ook websites van verschillende ministeries problemen.

Websites van grote motorzaken offline
De website van MotoPort, een van de grootste motorzaken in Nederland, is tijdelijk offline vanwege "een wereldwijd beveiligingsprobleem in PHP".

Ook de website van het Brabantse Van Meel Motoren, een andere grote motorzaak, is om dezelfde reden op zwart gezet. De site van de grote motorwinkel Goedhart Motoren in Bodegraven is eveneens offline.

Sites meerdere ziekenhuizen offline
Meerdere ziekenhuizen hebben hun websites offline gehaald. Het gaat onder meer om Maastricht UMC+, het Jeroen Bosch Ziekenhuis in Den Bosch, BovenIJ in Amsterdam, ziekenhuis Bravis (Roosendaal en Bergen op Zoom) en het Albert Schweitzer Ziekenhuis in Dordrecht.

Wie de sites van Haaglanden MC in Den Haag, het St. Antonius Ziekenhuis in Nieuwegein en het Elisabeth-TweeSteden Ziekenhuis in Tilburg en Waalwijk bezoekt, krijgt een foutmelding te zien.

Bij het ziekenhuis Franciscus (Rotterdam en Schiedam) zijn de online patiëntenfolders niet beschikbaar "door landelijke beveiligingsrisico's". Bij de Gelre ziekenhuizen (Apeldoorn en Zutphen) is de Patient Journey App niet beschikbaar doordat de leveranciers de beveiliging nog moeten bijwerken.

PHP ziet vooralsnog geen problemen
Het team achter PHP zegt tegen het ANP geen indicatie te hebben dat de kwetsbaarheden in de programmeertaal "actief worden uitgebuit door kwaadwillenden".

De website van supermarktketen Hoogvliet ligt eruit.

Tweakers tijdelijk niet bereikbaar
De website van Tweakers is tijdelijk offline gehaald. "We hebben onze systemen uit voorzorg offline gehaald vanwege kritieke PHP2Shell-kwetsbaarheden. We zijn wel via socialmediakanalen bereikbaar", meldt de techwebsite.

Websites politieke partijen offline
Websites van meerdere politieke partijen zijn offline. Het gaat onder meer om websites van VVD, CDA, PRO, BBB en PvdD. Het is een "preventieve maatregel".

De site van Volt ligt er even uit vanwege "onderhoud". Ook de sites van D66, SGP, ChristenUnie, DENK en JA21 zijn offline. Daar staat geen reden bij vermeld, maar de PHP-kwestie is vermoedelijk de boosdoener. 

De sites van PVV, FVD, Groep Markuszower (DNA), SP en 50PLUS zijn nog in de lucht.

Schiphol-app tijdelijk niet beschikbaar 
De Schiphol-app is tijdelijk niet bereikbaar door de PHP-kwestie. In de app staat onder meer vluchtinformatie en een plattegrond van Schiphol. Ook kun je via de app tijdslots boeken. De site van Schiphol is wel bereikbaar.

"We zijn op de hoogte van de berichtgeving en volgen ontwikkelingen rond digitale dreigingen vanzelfsprekend nauwgezet. Naar aanleiding hiervan nemen we uit voorzorg maatregelen", zegt een woordvoerder. "We houden de ontwikkelingen goed in de gaten. Vanuit veiligheidsoverwegingen doen we geen uitspraken over de inrichting van onze systemen of specifieke beveiligingsmaatregelen."

Sites voetbalsector offline
Ook de websites van voetbalbond KNVB zijn uit voorzorg offline gehaald. Sites als Voetbal.nl en OnsOranje.nl zijn niet bereikbaar. "We doen ons best om ervoor te zorgen dat je de website zo snel mogelijk weer kunt bezoeken", laat de KNVB weten.

ANWB ligt eruit
De site van de ANWB ligt er uit voorzorg uit. Dat heeft te maken met de PHP-kwestbaarheid, bevestigt een woordvoerder aan NU.nl. Mensen kunnnen wel pech melden en de Wegenwacht bellen, zegt hij. De app doet het nog wel.

De website van Rijkswaterstaat, waarop ook verkeersinformatie wordt gedeeld, is vooralsnog wel bereikbaar.

RTL Nieuws heeft de site tijdelijk offline gehaald.

Inloggen op MijnOverheid? Dan krijg je dit scherm te zien. Overigens werkt DigiD slechts deels niet: je kunt wel inloggen in de app bij websites die niet uit voorzorg offline gaan.

RIVM ligt er ook uit
De website van het RIVM is ook offline gehaald.

DPG Media heeft sites offline gehaald
DPG Media heeft vanmiddag "uit voorzorg" een aantal sites tijdelijk offline gehaald. Een aantal sites en apps van DPG Media draait op PHP. "Op dit moment analyseren we de situatie. Uit voorzorg hebben we besloten een aantal sites tijdelijk offline te halen. Vooralsnog zijn er geen incidenten gemeld voor onze sites, maar onze experts houden de ontwikkelingen in de gaten." 

RTL Nieuws ligt eruit en mogelijk zal ook het AD tijdelijk offline gaan. De website Mediacourant is ook uit de lucht.  

Hoofdredacteur Kamran Ullah van De Telegraaf, dat onderdeel is van het concern Mediahuis, laat weten dat "technische teams de situatie op dit moment monitoren". De nieuwssite maakt "vrijwel geen gebruik van PHP".

NU.nl is ruim vijftien jaar geleden van PHP afgestapt.

Geen verband met cyberaanval Albert Heijn
Ahold Delhaize denkt niet dat de recente cyberaanval verband houdt met de PHP-kwetsbaarheden. "Voor zover we nu kunnen overzien, is er geen aanleiding om dit aan te nemen", zegt een woordvoerder tegen persbureau ANP.

De woordvoerder wil nog niet zeggen of de supermarkt de website opnieuw offline gaat halen. "Op dit moment is dit alles wat ik erover kan zeggen. Als wij aanleiding zien om hier mededelingen over te doen, doen we dat."

Boekensites ook offline gehaald
Meerdere grote boekensites zijn offline gehaald. Het gaat onder meer om Hebban, CPNB en Bestseller 60.

Website DigiD ligt eruit, inloggen kan nog
De website van overheidsdienst DigiD ligt er ook uit. Inloggen met DigiD is wel mogelijk bij diensten die nog online zijn, meldt een woordvoerder. "Veel overheidssites zijn offline gehaald tot de update er is, daarna is het afwachten wanneer sites weer online komen", zegt ze.

Meerdere media ondervinden last
De site en de app van RTL Nieuws gaan offline, meldt RTL. Het medium blijft het nieuws brengen via sociale media, tv en RTL Z.

Ook de site van Omroep Flevoland ligt er deels uit. De omroep schrijft dat ze tijdelijk geen nieuwe artikelen publiceren vanwege de PHP-kwestie.

Ook persbureau ANP heeft uit voorzorg systemen offline gehaald.

PHP-kwetsbaarheid raakt ook buitenland
NCSC waarschuwt ook Britse organisaties voor de kwetsbaarheden. Ook krijgen het advies om de computersystemen die PHP gebruiken "zo spoedig mogelijk" te updaten.

Website Mijn Overheid offline
Mijn Overheid is offline gehaald. De algemene inlogpagina voor meerdere overheidssites is daardoor tijdelijk niet bereikbaar. Onder meer de Belastingdienst doet het wel.

Cybersecuritywaakhond ziet nog geen actief misbruik
Nationaal Cyber Security Centrum (NCSC) ziet nog geen "actief misbruik" gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om voorbereidingen te treffen op de updates die vanmiddag beschikbaar worden.

NCSC stelt dat het tijdstip mogelijk nog wordt vervroegd. "Voer de updates zodra ze beschikbaar komen direct door. Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar."

De website van NCSC zelf is uit voorzorg ook tijdelijk offline gehaald.

Wat betekent deze kwetsbaarheid in PHP?
Door de kwetsbaarheden kunnnen "criminelen willekeurige websites die gebruikmaken van PHP overnemen", legt cybersecurityexpert Daan Keuper aan NU.nl uit. "Ze hebben dan volledige toegang tot dat systeem en alle data die zich erin bevindt."

Zodra de veiligheidsupdate online staat en kwaadwillenden een script hebben geschreven, kunnen ze volgens Keuper "zo snel mogelijk het internet scannen en de websites overnemen voor welke malafide doeleinden dan ook".

Om 16.00 uur is er een spannend moment, stelt Keuper. "Criminelen zitten op dat tijdstip namelijk ook klaar. Dan is bekend waar de kwetsbaarheden zitten en kunnen criminelen op basis daarvan snel een script schrijven waarmee ze bedrijven die PHP gebruiken, aanvallen. Als bedrijven wél updaten, kunnen ze die aanvallen voor zijn."

Picnic haalt zijn website niet offline
Picnic maakt gebruik van de programmeertaal, maar besluit desondanks om de site niet offline te halen. Volgens een woordvoerder is zo'n ingreep in het geval van Picnic niet nodig. "Onze website is alleen een uithangbord. Je kunt daar niet bestellen." Het bestelsysteem zou dus niet op PHP draaien.

NU.nl heeft geen last van de kwetsbaarheid
NU.nl maakt geen gebruik van PHP en heeft daarom geen last van de kwestie.

Om 16.00 uur belangrijke veiligheidsupdate
PHP kondigde vanochtend aan dat er twee "kritieke kwetsbaarheden" zijn gevonden in het systeem. Die maken het mogelijk om de server van een afstand aan het sturen. 

PHP meldt dat er woensdagmiddag om 16.00 uur een belangrijke een veiligheidsupdate aan de programmeertaal wordt gepubliceerd.

Meerdere sites niet bereikbaar
Ook voetbalclubs hebben last van de PHP-kwestie. Onder meer de sites van Fortuna Sittard, FC Groningen, FC Twente en Willem II zijn niet bereikbaar.

Verder zijn ook de site van politievakbond ACP, apothekerskoepel KNMP en openbaarvervoerbedrijf EBS tijdelijk offline gehaald.

Website van de Tweede Kamer ook offline
Ook de website van de Tweede Kamer is uit voorzorg offline gehaald. "Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen", zegt een woordvoerder tegen het ANP. "Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server."

Ook scholen en universiteiten de dupe
Delen van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo's en onderzoeksinstellingen zijn uit voorzorg uitgeschakeld. Vanwege veiligheidsoverwegingen heeft SURF de keuze gemaakt om bepaalde SURF-diensten, die gebruik maken van PHP, preventief uit te zetten.

Het is niet bekend welke delen van het zogenoemde SURF-netwerk zijn uitgeschakeld. Ook de gevolgen voor bijvoorbeeld colleges en tentamens zijn nog niet duidelijk.

Informatievoorziening lokale overheden offline
In Nederland is het programma NotuBiz offline gehaald. Dat is de websitedienst waarmee gemeenten, provincies en waterschappen berichten publiceren. Ze delen daar officiële informatie met raadsleden en Statenleden. Die zijn normaal gesproken ook zichtbaar voor het publiek.

Het gaat onder meer om Den Haag, Almere, Breda, Haarlem, Den Bosch, Delft, Katwijk, Montferland en Altena. De informatievoorziening van meerdere provincies waaronder Overijssel, Gelderland en Friesland zijn ook offline gehaald. 

Programmeertaal PHP blijkt kwetsbaar
Websites over de hele wereld die de programmeertaal PHP gebruiken, hebben het dringende advies gekregen om uit voorzorg offline te gaan vanwege kwetsbaarheden.Wereldwijd draait ongeveer 70 procent van de websites op PHP. Lees hier meer.