Cybersecurity-autoriteit ziet eerste signalen van effectief misbruik PHP-lek
Meerdere grote Nederlandse websites zijn woensdag offline gehaald na waarschuwingen over kwetsbaarheden in de veelgebruikte programmeertaal PHP.
Een veiligheidsupdate is sinds woensdagmiddag beschikbaar, die het PHP-lek moet oplossen.
Verschillende websites zijn sinds het einde van de middag weer online, waaronder die van de overheid en het hoger onderwijs.
Volg het laatste nieuws in dit liveblog.
Liveblog
Cybersecurity-autoriteit ziet eerste signalen van effectief misbruik PHP-lek
Het Nationaal Cyber Security Centrum (NCSC) meldt ‘eerste signalen van succesvol misbruik’ te onderzoeken die te maken hebben met de ontdekte kwetsbaarheden in de programmeertaal PHP. Volgens het NCSC kan de situatie ‘snel verergeren’, omdat inmiddels is aangetoond dat de kwetsbaarheid misbruikt kan worden.
Gisteren waarschuwde de organisatie al dat er pogingen waren gedaan om misbruik te maken van de kwetsbaarheden. Een woordvoerder van het NCSC bevestigt aan de Volkskrant dat er nu ‘signalen uit het internationale netwerk’ van de organisatie komen over effectief misbruik. De instantie onderzoekt of dat daadwerkelijk het geval is. Volgens de woordvoerder zijn er nog geen signalen van misbruik bij Nederlandse websites.
De kwetsbaarheden kunnen volgens het NCSC mogelijk nog sneller worden misbruikt door het gebruik van AI, stelt de organisatie. Daarom benadrukt het NCSC nogmaals het belang van het installeren van de veiligheidsupdates, die de PHP Foundation gisteren beschikbaar stelde. ‘Zolang de systemen niet zijn bijgewerkt, is het nodig deze uit voorzorg offline te houden.’
Lisa Belt
Veel mkb-websites nog steeds kwetsbaar na PHP-lek, waarschuwen experts
Websites die draaien op PHP en niet zijn bijgewerkt naar de nieuwste versies blijven hackgevoelig, benadrukt de stichting achter de programmeertaal. ‘Oudere versies die niet zijn voorzien van de beveiligingspatch blijven kwetsbaar. Updaten is noodzakelijk’, zegt de PHP Foundation desgevraagd tegen het ANP.
Daardoor lijken ook veel websites in Nederland nog risico te lopen om slachtoffer te worden van de ontdekte kwetsbaarheden in PHP. Webbureau Bureau Imago becijferde donderdag dat 57 procent van de websites van Nederlandse mkb-bedrijven draait op WordPress. Bijna de helft van die websites zou gebruikmaken van plugins, dat zijn losse stukjes toegevoegde software, die minstens een versie achterlopen.
‘Grote organisaties hebben een IT-afdeling die zo’n update dezelfde dag doorvoert’, zegt Sylvester Bongers, partner bij Bureau Imago, dat werkt aan websites van mkb-bedrijven. ‘Bij de kapper of het administratiekantoor staat de site er vaak nog zoals hij jaren geleden is opgeleverd. Wie hem veilig wil houden, moet steeds WordPress, de plugins en het thema bijwerken, en om de paar jaar ook PHP.’
Het team achter de veelgebruikte programmeertaal PHP bracht woensdag een patch uit voor de kwetsbaarheden. Volgens de organisatie zijn er vooralsnog geen aanwijzingen dat er actief misbruik is gemaakt van de kwetsbaarheden.
ANP/Redactie
Nog geen signalen om uit te gaan van succesvol misbruik van kwetsbaarheden in PHP, zegt NCSC
Het Nationaal Cyber Security Centrum (NCSC) ziet donderdagmiddag nog geen signalen die erop duiden dat de kwetsbaarheden in programmeertaal PHP succesvol zijn misbruikt door kwaadwillenden.
‘Tot dusver blijft het bij aanvalspogingen die wij zien’, laat een woordvoerder van het NCSC weten aan persbureau ANP. De Autoriteit Persoonsgegevens zei donderdag ook nog geen meldingen te hebben ontvangen van datalekken die het gevolg zijn van de kwetsbaarheden in PHP.
Wel ziet het NCSC online codes verschijnen waarmee potentiële aanvallers een kwetsbaarheid kunnen testen en mogelijk misbruiken. Deze tests zouden nog niet succesvol zijn geweest, maar ‘dat sluit toekomstig misbruik niet uit’, aldus de organisatie. ‘Eén werkende variant kan voldoende zijn om aanvallen op grotere schaal mogelijk te maken.’
Matthew Prince, de topman van het Amerikaanse cyberbeveiligingsbedrijf Cloudflare, zegt in een bericht op X dat Cloudflare sinds de bekendmaking van de kwetsbaarheden miljoenen pogingen heeft gezien om de leks bij PHP uit te buiten. In de tien uur voordat de kwetsbaarheden aan het licht kwamen, ging het volgens Prince om duizenden pogingen.
ANP/redactie
Aantal belangrijke websites nog altijd offline
Na de veiligheidszorgen door een lek in de programmeertaal PHP zijn een aantal belangrijke websites nog altijd offline. Dat blijkt uit een inventarisatie van het ANP. Het gaat onder meer om de websites van Meld Misdaad Anoniem en websites van lokale afdelingen van Veilig Thuis, zoals die van Haaglanden, Rotterdam-Rijnmond en Hollands Midden.
Door kwetsbaarheden in de taal waarmee veel websites worden geprogrammeerd, hebben websitebeheerders woensdag sites preventief uit de lucht gehaald. Rond 16.00 uur werd een zogenoemde ‘patch’ gepubliceerd, waarmee een update gedaan kon worden om het lek te dichten. Daardoor komen steeds meer websites online.
Eerder was ook de zelfdodingspreventiewebsite van 113 niet bereikbaar, maar dat is nu weer opgelost. Mensen konden het nummer wel nog bellen en chatten. Meld Misdaad Anoniem is ook telefonisch nog bereikbaar. Het is mogelijk wel drukker dan gebruikelijk, meldt de organisatie. Ook de site van het Centrum Seksueel Geweld was eerder uit de lucht, maar is inmiddels weer bereikbaar.
Stichting Ambulance Wens was al eerder weer online, maar kon toen nog niet bij de digitale planning met informatie over de laatste wensen. Ook dat probleem is verholpen. ‘De gegevens voor de wensen van morgen zijn weer beschikbaar en de geplande wensritten kunnen doorgaan’, aldus de stichting. (ANP)
Steeds meer websites weer in de lucht; sommige belangrijke sites nog offline
De website van het Nationaal Cyber Security Centrum (NCSC) is weer te bezoeken. Het Centrum roept organisaties via hun herstelde site op om zo snel mogelijk na te gaan of hun systemen kwetsbaar zijn en de veiligheidsupdates te installeren. ‘Zolang systemen niet zijn bijgewerkt, is het nodig deze uit voorzorg offline te houden.’
Eerder waarschuwde de NCSC al dat het per website kan verschillen hoe lang het duurt voordat die opnieuw online kan. Volgens een woordvoerder hangt dat af van de IT-inrichting van de website.
Ook de webpagina van DigiD is weer te bereiken. Het was wel al mogelijk om de dienst te gebruiken bij het inloggen bij andere overheidsinstanties.
Verschillende belangrijke websites zijn nog steeds offline, blijkt uit een inventarisatie van het ANP. Zo zijn de websites van Meld Misdaad Anoniem, Centrum Seksueel Geweld en zelfmoordpreventieorganisatie 113 niet beschikbaar. Meld Misdaad Anoniem en 113 zijn wel per telefoon bereikbaar.
Lisa Belt
Onderliggend probleem kwetsbaarheden PHP al in 2024 ontdekt
De PHP Foundation, de stichting die de programmeertaal PHP beheert, werkte al langer aan een oplossing voor de kwetsbaarheden die dinsdag bekendgemaakt werden. In 2024 waren er al vermoedens over het onderliggende probleem, maar een oplossing bleef lang uit. De organisatie spreekt van een ‘structureel falen’ en zegt de werkwijze aan te passen om dergelijke incidenten te voorkomen.
Lees verder: Lek in fundamentele internetcode PHP was al langer bekend, talloze websites gingen op zwart
Diverse overheidswebsites weer online
Een aantal websites van de Rijksoverheid die eerder vandaag preventief offline werden gehaald door het PHP-lek, zijn weer online. Zo kan er weer gebruik worden gemaakt van MijnOverheid.nl en zijn de websites van sommige veiligheidsregio’s, zoals Gelderland-Midden, weer in de lucht.
De site van DigiD is nog offline, maar je kan wel met de app inloggen bij andere overheidswebsites zoals de Belastingdienst.
Het probleem is nog niet helemaal opgelost. Zo is de website van het Nationaal Cyber Security Centrum (NCSC) nog steeds niet beschikbaar. Dat geldt ook voor sommige veiligheidsregio’s zoals IJsselland en Twente.
Lisa Belt
Eerste systemen in de lucht na PHP-update: website en app RTL en computernetwerk hoger onderwijs weer online
De website en app van RTL zijn weer online na het doorvoeren van de beveiligingsupdate van PHP. De nieuwstak van het bedrijf schrijft: ‘Het probleem is opgelost, waardoor bezoekers veilig RTL Nieuws.nl en de app kunnen bezoeken.’
Ook het computernetwerk van het hoger onderwijs is weer in de lucht, meldt SURF, de ict-samenwerkingsorganisatie van Nederlandse onderwijs- en onderzoeksinstellingen. De veiligheidspatch is toegepast op de grootste SURF-diensten. Die zijn volgens de coöperatie weer beschikbaar en veilig om te gebruiken. SURF verwacht dat uiterlijk morgenochtend alle diensten weer veilig en beschikbaar zijn.
Overheidswebsites zoals MijnOverheid en DigiD zijn nog niet operationeel. Ook de website van het Nationaal Cyber Security Centrum (NCSC) is nog niet terug in de lucht. Het NCSC heeft nog geen nieuw advies over de patch gepubliceerd.
Lisa Belt
‘Veiligheidspatches’ PHP beschikbaar die lek moeten repareren; problemen nog niet voorbij
De ontwikkelaars van PHP hebben een update beschikbaar gesteld die de twee kwetsbaarheden in de programmeertaal moet repareren. Gisteravond maakte de PHP Foundation de vondst van de kwetsbaarheden bekend en kondigde ze de veiligheidsupdate aan. Websitebeheerders die werken met PHP kregen het advies de update met ‘veiligheidspatches’ zo snel mogelijk te installeren om de reparaties door te voeren.
Het Nationaal Cyber Security Centrum (NCSC) waarschuwt dat mogelijk niet alle getroffen websites direct na het doorvoeren van de update weer online kunnen. Dat zei plaatsvervangend directeur Corine Schipper-Derkse tijdens een persmoment: ‘Sommige websites kunnen een knop omzetten, maar voor andere websites kan het langer duren. Afhankelijk van welke versie ze gebruiken.’
Na het doorvoeren van de patches zou ‘de weeffout in de software’ volgens Schipper-Derkse moeten zijn hersteld, waarna de websites weer online kunnen worden gezet. Dat is volgens de plaatsvervangend directeur een kwestie van minuten of uren, maar het kan ook langer duren.
Het is volgens Schipper-Derkse ook mogelijk dat er later nog een tweede update beschikbaar wordt gesteld, als de eerste niet alle problemen kan oplossen. Het NCSC verwacht voor 17.00 uur een advies over de patch te publiceren.
Lisa Belt
Steeds meer Europese websites uit de lucht: in België, Finland en Frankrijk
Hoewel vooral in Nederland op grote schaal websites offline worden gehaald na waarschuwingen over de kwetsbaarheden in programmeertaal PHP, volgen steeds meer Europese landen. Ongeveer 70 procent van de websites wereldwijd draait op PHP of toepassingen van de programmeertaal.
In België zijn websites van organisaties uit verschillende sectoren uit de lucht. Onder meer het platform Smartschool is offline gehaald, dat veel wordt gebruikt in het basisonderwijs en op middelbare scholen. Ook verschillende Belgische websites van DPG-titels als Libelle en Knack staan op zwart. Daarnaast liggen enkele Belgische overheidswebsites eruit en zijn de websites van verschillende ziekenhuizen, vooral in de regio Antwerpen, tijdelijk niet bereikbaar.
In de rest van Europa hebben tot dusver, voor zover bekend, enkel Finland en Frankrijk websites uit de lucht gehaald. In Finland zijn alle websites van de overheid offline gehaald. Het Franse ministerie van Binnenlandse Zaken zegt dat de websites van lokale administratiekantoren van de overheid tijdelijk niet bereikbaar zijn.
Eerder waarschuwden verschillende nationale veiligheidsdiensten dat organisaties die draaien op PHP hun websites uit de lucht moeten halen. Dergelijke waarschuwingen werden al uitgegeven door de autoriteiten in de Europese Unie, Japan en het Verenigd Koninkrijk. Zowel in het VK als Japan zijn er nog geen meldingen van websites die offline zijn gehaald. Ook in de rest van de wereld, waaronder de Verenigde Staten, zijn er nog geen meldingen gedaan. Wel zegt het Witte Huis een onderzoek te starten naar mogelijke lekken bij de sites van federale overheidsinstanties.
Uma Kagenaar
PHP Foundation: geen signalen van misbruik kwetsbaarheden PHP
Volgens het team achter PHP zijn er geen indicaties dat de aangetroffen kwetsbaarheden in de programmeertaal actief worden uitgebuit door kwaadwillenden. Dat meldt de Amerikaanse PHP Foundation aan het ANP. Eerder vandaag meldde het Nationaal Cyber Security Centrum (NCSC) al dat het nog geen ‘actief misbruik’ van de kwetsbaarheden in PHP had gesignaleerd.
De organisatie waarschuwde gisteren voor ‘kritieke kwetsbaarheden’ in de code. Cyberveiligheidsdiensten riepen daarna op tot voorzorgsmaatregelen. Veel websites, waaronder die van DigiD, de Tweede Kamer en universiteiten, werden daarna offline gehaald. Om 16.00 uur maakt de PHP Foundation een update beschikbaar, die de kwetsbaarheden zou moeten verhelpen.
Inmiddels zijn ook de websites van dertien van de 25 veiligheidsregio’s in Nederland uit voorzorg offline gehaald. Ook een deel van de websites van telecombedrijf Odido en energiebedrijf Eneco zijn uit de lucht gehaald.
De website van supermarktketen Hoogvliet is voorlopig niet bereikbaar. De website van Albert Heijn, die sinds vandaag weer volledig operationeel is, is nog steeds in de lucht. Moederbedrijf Ahold Delhaize denkt niet dat het PHP-lek verband houdt met de recente cyberaanval die het bedrijf tien dagen lang platlegde.
Lisa Belt
Meerdere Nederlandse ziekenhuizen halen websites offline vanwege digitale dreiging
Verschillende Nederlandse ziekenhuizen hebben vandaag hun websites offline gehaald vanwege een digitale dreiging. Die is het gevolg van kwetsbaarheden in de programmeertaal PHP. Wereldwijd gebruikt 70 procent van de websites PHP.
Het gaat onder meer om de websites van het Maastricht UMC+, het Jeroen Bosch Ziekenhuis in Den Bosch, het BovenIJ-ziekenhuis in Amsterdam en het Albert Schweitzer-ziekenhuis in Dordrecht. Bij sommige ziekenhuizen doet de website het wel, maar zijn bepaalde diensten offline.
Bij het ziekenhuis Franciscus (Rotterdam en Schiedam) zijn bijvoorbeeld de online patiëntenfolders niet beschikbaar ‘door landelijke beveiligingsrisico's’. Bij de Gelre Ziekenhuizen (Apeldoorn en Zutphen) is een app voor patiënten niet beschikbaar.
ANP/redactie
Ook website MijnOverheid en app van Schiphol tijdelijk niet bereikbaar
De website van MijnOverheid en de app van luchthaven Schiphol zijn tijdelijk niet bereikbaar, vanwege de kwetsbaarheden in programmeertaal PHP. Het is niet duidelijk hoelang de website van MijnOverheid uit de lucht blijft. De website van Schiphol blijft vooralsnog wel beschikbaar.
Hackers kunnen door de kwetsbaarheden bij PHP mogelijk toegang krijgen tot talloze websites die gebruikmaken van de programmeertaal. Tot nu toe zijn dergelijke meldingen nog niet binnengekomen.
Verschillende grote Nederlandse organisaties hebben hun websites eerder vandaag al offline gehaald. Het gaat onder meer om de Tweede Kamer, het RIVM en de Unie van Waterschappen. Ook de KNVB heeft zijn website uit de lucht gehaald.
Yassin Boutayeb
Uitgever DPG Media haalt uit voorzorg websites uit de lucht, waaronder RTL Nieuws
DPG Media heeft vandaag aan het begin van de middag ‘uit voorzorg’ een aantal sites tijdelijk offline gehaald vanwege de kwetsbaarheden in de programmeertaal PHP. Dat meldt een woordvoerder van het bedrijf aan persbureau ANP. Het gaat in ieder geval om de site van RTL Nieuws. De organisatie zegt onder meer via sociale media nieuws te blijven brengen.
Ook onder meer de Volkskrant en het AD zijn onderdeel van DPG Media. Het is vooralsnog niet duidelijk hoeveel websites die onder de uitgever vallen offline gaan. ‘Op dit moment analyseren we de situatie. Vooralsnog zijn er geen incidenten gemeld voor onze sites, maar onze experts houden de ontwikkelingen in de gaten’, aldus de woordvoerder.
Yassin Boutayeb
NS voorziet geen problemen door kwetsbaarheden PHP, komende uren ‘erg spannend’
De NS verwacht geen hinder te ondervinden als gevolg van de kwetsbaarheden die zijn ontdekt in programmeertaal PHP. Dat laat een woordvoerder van de spoorwegmaatschappij weten aan persbureau ANP. ‘We waren door goede contacten met experts gisteravond al vroeg op de hoogte. Onze teams zitten klaar om maatregelen te nemen, zoals het doorvoeren van de updates.’
Programmeertaal PHP wordt door zo’n 70 procent van de websites wereldwijd gebruikt. Ethisch hacker Wouter van Dongen zegt tegen persbureau ANP dat de gevolgen groot zullen zijn op het moment dat kwaadwillenden toegang krijgen tot de websites en data. ‘PHP is de onderliggende technologie waarmee je webapplicaties kunt maken. Als dat kwetsbaar is, dan is alles daarop ook kwetsbaar’, zegt Van Dongen.
PHP levert rond 16.00 uur een veiligheidsupdate die de kwetsbaarheden in de programmeertaal moet verhelpen. De vraag is of dat snel genoeg zal zijn. Harm Griffioen, cybersecurity-onderzoeker van de TU Delft, zegt tegen ANP dat op internet al wordt gedeeld hoe PHP-sites zijn te hacken. De uren tot de update zullen volgens de wetenschapper daarom ‘erg spannend’ zijn.
Yassin Boutayeb
NCSC: nog geen ‘actief misbruik’ na kwetsbaarheden in programmeertaal PHP
Het Nationaal Cyber Security Centrum (NCSC) heeft na het bekend worden van kwetsbaarheden in programmeertaal PHP nog geen ‘actief misbruik’ gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om alvast voorbereidingen te treffen voor de updates die woensdagmiddag beschikbaar worden gesteld. Die kunnen dan zo snel mogelijk worden geïnstalleerd.
Het NCSC stelt dat PHP om 16.00 uur updates publiceert om de kwetsbaarheden te verhelpen. Dat tijdstip kan ook nog worden vervroegd. ‘Voer deze updates zodra ze beschikbaar komen direct door. Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar’, waarschuwt de instantie.
Tot die tijd adviseert het centrum dat organisaties per systeem dat PHP gebruikt en aan het internet hangt beoordelen wat de risico’s zijn. Ook zouden organisaties moeten kijken of aanvullende maatregelen noodzakelijk zijn, zoals het uitschakelen van het systeem. De website van het NCSC zelf is uit voorzorg ook tijdelijk offline gehaald. (ANP)
Website Tweede Kamer uit voorzorg offline vanwege kwetsbaarheden PHP
De website van de Tweede Kamer is uit voorzorg offline gehaald in verband met kwetsbaarheden die zijn ontdekt in de programmeertaal PHP. Dat meldt een woordvoerder desgevraagd.
‘Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen’, aldus de zegsman. ‘Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server.’ (ANP)
Computernetwerk hoger onderwijs uit voorzorg deels uitgeschakeld
Delen van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo’s, academische ziekenhuizen en onderzoeksinstituten zijn woensdag uit voorzorg uitgeschakeld. Aanleiding is de waarschuwing voor kwetsbaarheden in de veelgebruikte programmeertaal PHP.
Het is niet bekend welke delen van het netwerk zijn uitgeschakeld. Ook de gevolgen voor bijvoorbeeld colleges en tentamens zijn nog niet duidelijk.
In de nacht van dinsdag op woensdag werd gewaarschuwd voor de kwetsbaarheden in PHP. De ontwikkelaars werken aan een update om het gat te dichten, een zogeheten patch. Die komt waarschijnlijk woensdagmiddag beschikbaar. ‘Details van de kwetsbaarheid zijn echter al uitgelekt. Die worden mogelijk misbruikt door kwaadwillenden’, meldt samenwerkingsverband SURF. (ANP)
