Kwetsbaarheden in PHP lijken met een update te zijn opgelost, maar tech-experts denken nieuwe risico's te zien

Nu veel organisaties hun websites hebben bijgewerkt met de vernieuwde PHP-patch, lijkt het gevaar geweken. Toch uiten cyberexperts online hun twijfels over de dichtheid van de nieuwe patch. De Zwitserse beveiligingsonderzoeker Nicolas Krassas zegt nog drie andere kwetsbaarheden te hebben geconstateerd waarmee het systeem kan worden misbruikt. De twee eerder gemelde kwetsbaarheden zouden volgens hem wel opgelost zijn.

Ook andere tech-experts melden online nieuwe problemen in de ‘patch’ te zien, al kunnen zij niet bevestigen dat dit de systemen ook kwetsbaar maakt voor aanvallen. Online heerst nu discussie over de validiteit van de bevindingen. Een Reddit-gebruiker die zegt bij PHP te werken reageert dat de nieuwe bevindingen niet direct een veiligheidsprobleem hoeven te vormen en dat er geen aanwijzingen zijn dat de kwetsbaarheden in de patch onvolledig zijn verholpen.

De Zwitserse nieuwssite blue News waarschuwt daarnaast dat aanvallers ook ongemerkt systemen binnengedrongen zouden kunnen zijn voordat de update was uitgevoerd. Een update sluit wellicht de deur, maar als er al een achterdeur geïnstalleerd is, blijft die openstaan. Dat betekent dat hackers nog steeds toegang zouden kunnen hebben tot systemen, ook als die al zijn bijgewerkt. Het is daarom nu zaak dat organisaties uitvoerig onderzoek doen naar verdachte activiteiten in hun systemen voor en na de update.

Overigens konden niet alle PHP-systemen worden geüpdatet. Oudere systemen van PHP krijgen geen patch, waardoor de kwetsbaarheden niet kunnen worden verholpen. Volgens het Nederlandse beveiligingsbedrijf Hadrian gaat dat om circa de helft van alle PHP-websites. Voor die versies van PHP gaan wel handmatige oplossingen rond die het risico op een hack mogelijk verlagen. Analisten bij PHP hebben echter al gewaarschuwd dat hackers daar makkelijk omheen kunnen werken, schrijft cybernieuwssite The Hacker News. PHP stelt zelf dat updaten de enige manier is om de kwetsbaarheden te bestrijden. Over nieuwe kwetsbaarheden heeft het bedrijf niks naar buiten gebracht.

Na de veiligheidszorgen door de kwetsbaarheden in programmeertaal PHP zijn veel websites inmiddels weer online gekomen. Zo zijn sinds woensdagavond de websites van DigiD, MijnOverheid en Rijkswaterstaat weer bereikbaar. Ook de websites van meerdere politieke partijen, ziekenhuizen, gemeenten en zelfmoordpreventiewebsite 113.nl staan weer online.

Een aantal belangrijke websites staat nog wel offline. Het gaat onder meer om de sites van Meld Misdaad Anoniem en lokale afdelingen van Veilig Thuis. Ook internationaal werden woensdag websites offline gehaald. Donderdagochtend is de officiële website van de Franse overheid bijvoorbeeld nog altijd niet bereikbaar.

Directeur van het Nationaal Cyber Security Centrum, Matthijs van Amelsfort zei woensdagavond geen „actief misbruik” te hebben waargenomen door het lek in programmeertaal PHP. Wel zag het centrum dat het online verkeer toenam, wat erop zou kunnen wijzen dat mensen op zoek zijn naar eventuele kwetsbaarheden om misbruik van te maken, met name op websites die nog niet zijn geüpdatet.

Tal van websites werden woensdagmiddag uit de lucht gehaald, om hacks te voorkomen in het PHP-systeem, de programmeertaal waar veel websites mee gebouwd zijn. Websites kunnen pas weer veilig online gaan nadat ze de update van het systeem hebben doorgevoerd, die de kwetsbaarheden verhelpt. Afhankelijk van de snelheid van de systemen en de instellingen van de websites kan het doorvoeren van de ‘patch’ meer tijd kosten. Zodra het systeem is bijgewerkt, lopen de organisaties geen risico meer.

Lees ook

De problemen rond programmeertaal PHP worden het ernstigste cyberlek in jaren genoemd. Wat is er aan de hand?

Het PHP-softwarelek maakte deze woensdag de gangbare medicatie-logistiek onmogelijk in instellingen voor ouderenzorg. Digitaal medicatiesysteem Medimo, wijdverspreid in de verpleeghuissector, draait op PHP-software en ging uit voorzorg offline. Bewoners van verpleeghuizen hebben voor zover bekend geen nadelige gevolgen ondervonden en dat is ook niet aannemelijk: ouderenzorginstellingen maken, in een geval als dit, gebruik van backup-systemen.

Archipel Zorggroep in Noord-Brabant en Amaris Zorggroep in de Gooi- en Vechtstreek en Eemland bevestigen het gebruik van back-ups tegenover NRC.

Via een Medimo-app op hun mobiele telefoon weten zorgverleners welke verpleeghuisbewoner welke medicijnen op welk tijdstip behoort te krijgen, legt Rinco de Jong uit, manager digitalisering bij Amaris, een zorggroep met zestien verpleeghuizen onder zijn hoede.

Die Medimo-app werd met het offline gaan van het medicatiesyteem dus onbereikbaar deze woensdag. Zorgverleners weken toen uit naar „backup-lijsten”, eveneens digitaal te raadplegen, maar omslachtiger, niet via een app. Die lijsten worden gevoed door Medimo en waren dus ‘nog’ actueel: Medimo was immers pas net offline. De medicatiebevoorrading liep geen gevaar, vertelt De Jong: die staat los van de softwareproblemen.

De situatie wordt pas gevaarlijk als Medimo lang offline zou zijn gebleven. Zeg langer dan een week. Want artsen die de medicatie van ouderen aanpassen – een vrouw van in de tachtig heeft bijvoorbeeld ineens een bloeddrukverlager nodig – registreren dat via Medimo. Hoe langer het systeem offline is, hoe meer achterhaald de backup-lijsten raken. Alleen via omwegen, zoals geïmproviseerd overleg met de apotheek, blijft een goede medicatievoorziening gegarandeerd. „Maar dat is omslachtiger, tijdrovender en foutgevoeliger”, zegt De Jong.
 Zover kwam het dus niet. „Medimo is zojuist weer online gegaan”, appte hij om 17.41 uur.

Het beveiligingslek in PHP waardoor talloze organisaties in binnen- en buitenland vandaag hun websites offline moesten halen, was al jaren bekend bij de PHP Foundation, de ontwikkelaar van de programmeertaal. Dat een oplossing voor het probleem tot vandaag op zich liet wachten, komt door „structureel falen”, schrijft de stichting in een blogpost.

Volgens de PHP Foundation ontdekten onafhankelijke experts in 2024 „de eerste tekenen” van het lek in de programmeertaal. Op dat moment was volgens de stichting echter nog niet duidelijk hoe een hacker het lek zou kunnen gebruiken bij een cyberaanval. Daardoor kregen andere bugs een hogere prioriteit.

Uiteindelijk ontwikkelde het team achter PHP verschillende oplossingen voor het lek, maar al deze oplossingen zorgden volgens de stichting weer voor nieuwe problemen. De ontwikkelaars worstelden volgens de stichting met die verschillende slechte opties en waren bang voor de gevolgen als ze een verkeerde keuze zouden maken.

Dat trage besluitvormingsproces zorgde er – in combinatie met een gebrek aan personeel – volgens de PHP Foundation voor dat het werk aan de oplossing „maandenlang stilviel en herhaaldelijk opnieuw begon”. „We zullen het niet ontkennen: de vertraging was een structureel falen”, aldus de stichting.

De opkomst van krachtige AI-hulpmiddelen zorgde er deze zomer voor dat de ernst van het lek duidelijk werd. Sinds een onderzoeker van cybersecuritybedrijf Calif het lek met hulp van AI in augustus herontdekte, had het dichten ervan „de hoogste prioriteit”, schrijft de PHP Foundation. Meerdere mensen zouden „fulltime, en uiteindelijk ook in het weekend en rond de klok” met de oplossing bezig zijn geweest.

Het was de bedoeling dat de software-update met de oplossing op donderdag 22 oktober zou uitkomen. Maar twee dagen voor de publicatie ging het mis, toen op dinsdagavond berichten over het lek de ronde deden op sociale media.

Om vergelijkbare problemen in de toekomst te voorkomen heeft de stichting geld nodig, schrijft de PHP Foundation. Ze roept bedrijven, hostingproviders en publieke instellingen die PHP gebruiken op om de ontwikkeling van de software te sponsoren „op een niveau dat weerspiegelt hoeveel u ervan afhankelijk bent”.

Hoewel de meeste sites die in verband met de problemen bij PHP uit de lucht werden gehaald nog altijd offline zijn, komen er mondjesmaat weer wat sites online. De site en app van RTL Nieuws zijn weer in de lucht, nadat het medium deze eerder vandaag enkele uren uit voorzorg offline haalde. Ook technologiewebsite Tweakers en MijnOverheid staan weer online.

Iets voor 16.00 uur werd de patch beschikbaar die de problemen bij PHP moet oplossen. Niet alle sites kunnen deze gelijk doorvoeren, omdat zij werken op verouderde versie van PHP. De veiligheidsrisico’s zijn dus nog lang niet verdwenen. „De PHP-situatie zal leiden tot een massa incidenten. Dit is een van de grootste kwetsbaarheden in jaren”, schreef Kevin Beaumont, een gerenommeerd securityspecialist, woensdag op het sociale medium Mastodon.

Lees hier meer over de impact van het PHP-lek:

Lees ook

De problemen rond programmeertaal PHP worden het ernstigste cyberlek in jaren genoemd. Wat is er aan de hand?

De kwetsbaarheden (bugs) in programmeertaal PHP waardoor woensdag zoveel websites op zwart gingen, zijn opgespoord met behulp van AI. Volgens The Wall Street Journal bestonden de zwakke plekken al decennialang, en had een veiligheidsonderzoeker daar toen al eens op gewezen. Destijds was de overtuiging echter dat het voor een mens te ingewikkeld zou zijn misbruik van die bugs te maken. Dus bleven de kwetsbaarheden bestaan.

Door de snelle opkomst van krachtige AI is het krachtenveld in cybersecurity dit jaar compleet veranderd. Moderne AI-modellen hebben in hun training zoveel computercode opgeslokt, dat ze computertaal — net als mensentaal — vloeiend spreken. Kwetsbaarheden in software die decennia geleden nog te ingewikkeld waren voor exploitatie door kwaadaardige hackers, zouden nu in theorie met behulp van AI-modellen wél gebruikt kunnen worden om toegang te verkrijgen tot allerlei belangrijke systemen.

Volgens The Wall Street Journal was een veiligheidsonderzoeker van het Amerikaanse cybersecuritybedrijf Calif afgelopen zomer daarom wél gealarmeerd toen hij met behulp van GPT-5.6 Sol (van OpenAI) de kwetsbaarheden in PHP (her)ontdekte. Dat was in augustus. De onderzoeker merkte hoe simpel het was om systemen die op PHP draaiden te hacken. Bij sommige systemen was hij binnen enkele seconden binnen.

Lees ook

Steeds betere AI-modellen ontwrichten de wereld van cybersecurity. ‘De verdediging staat eigenlijk met 4-0 achter’

De overheid in Finland heeft meerdere websites offline gehaald naar aanleiding van het PHP-veiligheidslek. Dat meldt de Finse publieke omroep. Ook in Duitsland en Oostenrijk zijn meerdere websites offline.

Zo is de website van de stad Mainz onbereikbaar; volgens de Süddeutsche Zeitung gaat het om een voorzorgsmaatregel. Wel blijft de lokale overheid telefonisch en per e-mail bereikbaar. Ook geplande afspraken gaan gewoon door. De Duitse federale dienst voor digitale veiligheid (BSI) waarschuwde systeembeheerders woensdag om „onmiddellijk” hun systemen te updaten.

De problemen blijven niet beperkt tot Europa. In Japan zijn meerdere online diensten offline, meldt een Japanse technieuwswebsite. En in Australië vaardigde de overheid een „kritieke waarschuwing” voor het lek uit. Die is rond 16.30 uur (Nederlandse tijd) niet meer bereikbaar, omdat ook de website van de Australische overheid offline is.

Veel sites van de 25 veiligheidsregio’s, waarop mensen informatie kunnen vinden over noodsituaties als brand en extreem weer, zijn offline. Maar het Landelijk Crisis Management Systeem – waarmee crisis- en hulpdiensten onderling informatie delen – is niet geraakt, zegt een woordvoerder van het Nederlands Instituut Publieke Veiligheid. Via het LCMS kunnen allerlei instanties, waaronder waterschappen, de NS en veiligheidsregio’s bij rampen en incidenten 24/7 actuele informatie uitwisselen.

Alle zogenoemde „kritieke entiteiten” in Nederland moeten in het geval van een (stroom)storing, cyberaanval of andere crisis blijven functioneren. In augustus ging de Wet weerbaarheid kritieke entiteiten in, waarin is bepaald wat die „kritieke entiteiten” zijn. Denk bijvoorbeeld aan drinkwater- en energiebedrijven, Rijkswaterstaat – dat sluizen moet kunnen blijven bedienen – aan banken en aan het KNMI. De ongeveer 500 bedrijven en instellingen die door de overheid zijn aangewezen moeten zorgen dat ze voldoen aan de cyberbeveiligingswet.

De ontwikkelaars van PHP hebben de patches voor hun programmeertaal beschikbaar gesteld. Het is belangrijk dat organisaties en bedrijven zo snel mogelijk de update van de producent van PHP installeren om een eind te maken aan de kwetsbaarheid van veel sites, zei Corine Schipper-Derkse, plaatsvervangend directeur van het Nationaal Cyber Security Centrum (NCSC), vanmiddag tijdens een korte persbriefing. „Dan zal je zien dat de problemen niet binnen één minuut voorbij zijn, maar we moeten hier wel klaar voor staan”, zei Schipper-Derkse.

Volgens Schipper-Derkse is Nederland „behoorlijk afhankelijk” van de programmeertaal PHP omdat een groot deel van de sites er gebruik van maakt. „Daarmee is ook de potentiële impact groot”. Maar het gaat om een mondiaal probleem, benadrukte zij. Dat er in Nederland mogelijk meer sites offline zijn gegaan, heeft er volgens Schipper-Derkse mee te maken „dat hier wellicht een andere risicoafweging wordt gemaakt”.

Dat veel websites offline zijn gehaald „heeft impact in onze digitale samenleving”, zegt minister van Justitie David van Weel tegen persbureau ANP. „Er zijn op dit moment gelukkig nog geen signalen dat de kwetsbaarheden actief misbruikt worden.”

Websites van verschillende zorginstellingen zijn woensdagmiddag niet bereikbaar, waarschijnlijk vanwege problemen met PHP. Dat de websites niet beschikbaar zijn, betekent niet meteen dat de zorgverlening stil komt te liggen, blijkt uit een rondgang van NRC. Zorgafspraken lijken vooralsnog gewoon door te gaan, en patiëntensystemen lijken ongedeerd.

Door heel Nederland zijn websites van huisartsen offline. Praktijken die zijn aangesloten op digitaal zorgplatform Uw Zorg Online geven de melding dat sites tijdelijk zijn „uitgezet vanwege de PHP2Shell-kwetsbaarheid”. Een groot deel van de huisartsenpraktijken maakt gebruik van dit digitale zorgsysteem, zo’n 5.500 zorgpraktijken zijn bij het portaal aangesloten. Dit kunnen ook apotheken of andere zorgverleners zijn. Nederland telt zo’n 4.800 huisartsenpraktijken.

Bij de praktijken van Uw Zorg Online zijn patiëntenportalen en de app „vooralsnog wel bereikbaar”, maar inloggen met DigID werkt mogelijk niet. Patiënten kunnen dan wel inloggen met hun gebruikersnaam en wachtwoord, meldt Uw Zorg Online. Thuisarts.nl, een platform waar betrouwbare informatie over aandoeningen te vinden zijn, is ook offline. De website wordt veel gebruikt door huisartsen in hun praktijk om informatie aan hun patiënten over te brengen.

De belangrijkste systemen die huisartsen gebruiken werken nog wel. Dat laat de Landelijke Huisartsen Vereniging (LHV) desgevraagd aan NRC weten. Bepaalde koppelingen tussen systemen zijn uit voorzorg uitgezet, aldus een woordvoerder. Die systemen zijn volgens de LHV wel op andere manieren bereikbaar, waardoor de zorgverlening door kan gaan. De LHV monitort de signalen en staat daarbij in contact met Z-CERT, het cyberexpertisecentrum voor de zorg. Z-CERT laat weten dat het geen zicht heeft op welke applicaties en organisaties nu precies zijn geraakt door de problemen. „We zijn op dit moment vooral druk met het waarschuwen van organisaties”, aldus een woordvoerder.

De LHV adviseert huisartsenpraktijken om de berichtgeving rond de PHP-update om 16.00 uur in de gaten te houden en de update direct uit te voeren.

Ziekenhuizen

De websites van de meeste Universitair Medische Centra (UMC’s), zijn nog in de lucht. Alleen de website van Maastricht UMC+ is vooralsnog offline „om de veiligheid te waarborgen”, laat het ziekenhuis via sociale media weten. De zorgverlening gaat door, schrijft het ziekenhuis: „Het patiëntenportaal is bereikbaar via mijn.mumc.nl of via de MijnMUMC+-app. Alle geplande afspraken vinden plaats zoals afgesproken. Ook blijven we telefonisch bereikbaar.”

Websites van ten minste elf algemene ziekenhuizen (Nederland heeft 69 ziekenhuisorganisaties) zijn woensdagmiddag niet bereikbaar, zo telt NRC. Het gaat onder meer om websites van het Jeroen Bosch Ziekenhuis in Den Bosch, het Haaglanden MC in Den Haag, en het St. Antonius ziekenhuis in Nieuwegein en de kliniek Bergman Clinics.

Deze ziekenhuizen informeren hun patiënten ook via sociale media. Het Jeroen Bosch Ziekenhuis zegt op Instagram dit uit voorzorg te doen, om beveiligingsproblemen te voorkomen. Online informatiefolders ter voorbereiding op afspraken zijn niet bereikbaar, en patiënten kunnen geen afspraken inplannen voor „bloedonderzoek en andere onderzoeken” waarvoor de website wordt gebruikt. Het St. Antonius ziekenhuis laat patiënten ook op Instagram weten dat het patiëntenportaal los van de website staat en nog werkt. „Afspraken gaan gewoon door.”

Ook websites van het RIVM, GGD’s, en meerdere apothekers zijn offline.

Niet alleen tot 16.00 uur Nederlandse tijd is het spannend voor systemen die op PHP draaien. Daarna, als een update beschikbaar is die de lekken dicht, kunnen hackers de kwetsbaarheden opsporen en exploiteren bij wie de update niet snel genoeg heeft doorgevoerd.

De kwetsbaarheden in het programmeersysteem zijn sinds dinsdagavond bekend. Sindsdien is het voor hackers mogelijk om op eigen houtje de kwetsbaarheden te achterhalen en vervolgens te misbruiken. Op woensdagochtend werden de eerste Nederlandse websites offline gehaald wegens zorgen om de cyberveiligheid van de systemen.

PHP heeft aangekondigd om 16.00 uur een update uit te brengen om de kwetsbaarheden te verhelpen. Tot die tijd zorgen de kwetsbaarheden voor een mogelijke ingang in de PHP-systemen. Maar dat maakt niet dat die ingang wagenwijd open staat, zegt Harm Griffioen, universitair docent Cyberveiligheid aan de TU Delft. „Hackers moeten eerst vinden waar ze het systeem kunnen binnendringen. Daar moeten ze grote scripts met vele regels programmeertaal voor doorzoeken. Dat is niet zomaar gedaan.”

Online worden veel proof of concepts gedeeld uit het PHP-systeem. Dat zijn testcodes waarmee programmeurs aantonen dat de kwetsbaarheden daadwerkelijk aanwezig zijn. Deze proof of concepts geven inzicht in hoe de kwetsbaarheden misbruikt kunnen worden, maar er is vaak nog extra werk nodig om hier ook een programma mee te schrijven dat de servers kan aanvallen. Griffioen ziet vooralsnog geen geverifieerde aanvalsmethoden die publiekelijk zijn gedeeld. „Maar dat kan op elk moment alsnog gebeuren, want hackers zijn nu ongetwijfeld hard aan het zoeken. En degene die de kwetsbaarheid vindt, kan dat ook verzwijgen.”

Updaten noodzakelijk

De echte race tegen de klok begint echter pas als de updates door PHP openbaar worden gemaakt, zegt Griffioen. „Op dat moment kunnen hackers de oude scripts met de nieuwe scripts vergelijken, waardoor makkelijk te zien is waar de kwetsbaarheid zat. Dat inzicht maakt het voor hackers makkelijk om aanvalsprogramma’s te schrijven, waarmee ze de verouderde systemen alsnog kunnen binnendringen.” Organisaties die hun systemen niet snel genoeg updaten, lopen dan het meeste risico.

Dat veel organisaties hun websites nu offline halen, is volgens Griffioen een logische stap. „Als een systeem uit de lucht is, kunnen hackers er ook niet meer bij. Het beschermt de systemen tegen een mogelijke aanval.” Zodra de organisaties hun systemen hebben bijgewerkt, lopen zij dan ook in principe geen risico meer. „Maar we gaan hier nog heel lang last van hebben, omdat niet alle systemen direct bijgewerkt zullen worden”, zegt Griffioen. „Het updaten van systemen kan namelijk veel tijd kosten. En sommige systemen zullen misschien helemaal niet meer geüpdatet worden, omdat mensen zijn vergeten dat ze die hebben of omdat ze niet weten dat ze bijgewerkt moeten worden.”

Het Nationaal Cyber Security Centrum heeft na het bekend worden van kwetsbaarheden in programmeertaal PHP nog geen „actief misbruik” gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om alvast voorbereidingen te treffen op de updates die woensdagmiddag beschikbaar worden gesteld, zodat die zo snel mogelijk geïnstalleerd kunnen worden. Ook PHP Foundation zelf zegt nog geen signalen te hebben ontvangen van misbruikte kwetsbaarheden. De Amerikaanse cyberbeveiliger Cloudfare meldde wel pogingen tot aanvallen te zien, al bevestigen zij niet of die aanvallen succesvol zijn.

De websites van zeker dertien van de in totaal 25 veiligheidsregio’s in Nederland zijn uit voorzorg offline gehaald vanwege kwetsbaarheden met programmeertaal PHP. Op de websites worden normaal gesproken veiligheidsincidenten en noodsituaties gemeld en worden adviezen gegeven over wat mensen kunnen doen in een noodsituatie.

Onder meer die van IJsselland, Twente, Rotterdam, Zuid-Holland Zuid, Brabant-Noord zijn niet beschikbaar. Hulpdiensten zijn wel bereikbaar. Cyberveiligheidsinstanties  roepen op om websites die zijn gebouwd met de programmeertaal preventief offline te halen, om hacks te voorkomen.

PHP is een programmeertaal die breed wordt gebruikt om computerprogramma’s te schrijven. Het is vergelijkbaar met andere programmeertalen zoals Python en Ruby. PHP wordt gebruikt om zogeheten scripts te schrijven. In die scripts staat stap voor stap welke taken een computer moet uitvoeren om een applicatie te laten werken.

PHP wordt door miljoenen systemen over de hele wereld gebruikt. Het is onder meer de taal die geïntegreerd zit in WordPress, het contentmanagementsysteem (CMS) achter ongeveer 40 procent van alle websites wereldwijd. Daarnaast wordt PHP gebruikt in Drupal, een ander systeem waar veel overheden en instellingen hun websites op laten draaien.

Een computer kan niet zomaar scripts lezen, want een computersysteem begrijpt voor het uitvoeren van taken alleen codes van nullen en enen. Met een programmeertaal als PHP is het mogelijk om toch in letters commando’s te geven aan een computer. Die commando’s in PHP-taal moeten alleen wel weer worden omgezet in nullen en enen, die de computer kan lezen. Een PHP-script gaat dus eerst door een soort vertaalprogramma van PHP zelf, waardoor de computer weet wat er in het script zit.

De kwetsbaarheden binnen PHP zitten in het programma dat de vertaalslag maakt. Door de kwetsbaarheden is er een ingang voor kwaadwillende hackers om in te breken in systemen die op het PHP-programma draaien. Zodra de hackers zijn binnengebroken, kunnen zij commando’s geven die normaal alleen door de servereigenaar gegeven kunnen worden. Daarmee kunnen ze systemen overnemen of toegang krijgen tot gegevens die beveiligd horen te zijn. Het is momenteel nog onduidelijk of het hackers is gelukt om via de kwetsbaarheden systemen binnen te dringen.

De websites van coalitiepartijen VVD, CDA en D66 zijn offline, net als die van Pro, BBB, PvdD, SGP, ChristenUnie, Denk en JA21. Die van SP, 50Plus, PVV, FvD en DNA (De Nederlandse Alliantie, van Groep Markuszower) zijn nog wel bereikbaar.

Luchthaven Schiphol update „als voorzorgsmaatregel” de app niet meer met de actuele vluchtinformatie. Die is nog wel te vinden op de website.

Zorgadvieswebsites Thuisarts.nl en Dokter.nl zijn ook niet bereikbaar. Voor huis- tuin en keukenadvies is ook de populaire site Omaweetraad.nl woensdagmiddag niet beschikbaar.

• Cyberveiligheidsinstanties hebben „kritieke kwetsbaarheden” ontdekt in programmeertaal PHP. Wereldwijd draait een groot deel van de websites op PHP of toepassingen daarvan.
• De instanties roepen op om websites die zijn gebouwd met de programmeertaal preventief offline te halen, om hacks te voorkomen.
• Overheden en bedrijven volgen het advies op. Onder meer DigiD en MijnOverheid.nl zijn uitgeschakeld.
• Om 16.00 uur Nederlandse tijd staat een beveiligingsupdate van PHP gepland, die de problemen moet verhelpen.

Ook DPG Media heeft woensdagmiddag „uit voorzorg” een aantal websites uit de lucht gehaald. Dat meldt een woordvoerder van de uitgever aan persbureau ANP.

Het gaat onder meer om de website en app van RTL Nieuws. „We zijn zo weer terug”, staat op de site. „RTL is tijdelijk niet bereikbaar, omdat we een dringende beveiligingsupdate uitvoeren”.

Vooralsnog staan NU.nl en de sites van de Volkskrant en het AD, ook onderdeel van DPG, nog online.

De websites van onderzoeksjournalistiek platform Follow The Money (FTM) en van Platform Investico, beiden niet verbonden aan een uitgever, zijn woensdagmiddag eveneens offline. „We hopen je snel weer te kunnen verwelkomen op ons platform”, aldus FTM.

Het Nationaal Cyber Security Centrum (NCSC) heeft nog geen „actief misbruik” gezien van de kwetsbaarheden in programmeertaal PHP. Dat meldt het NCSC woensdag in een verklaring op LinkedIn. De website van het centrum is als voorzorgsmaatregel al uit de lucht gehaald.

Het centrum adviseert organisaties die PHP gebruiken voorbereidingen te treffen voor het moment dat er op woensdagmiddag een update beschikbaar wordt, die de PHP-problemen moet verhelpen. „Voer deze updates zodra ze beschikbaar komen direct door”, schrijft NCSC. „Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar.” PHP zou de update om 16.00 uur vanmiddag publiceren.

De lekken in de programmeertaal maken deze kwetsbaar voor bijvoorbeeld hackers. „Organisaties die PHP gebruiken op hun webservers lopen een zeer hoog risico op volledige overname van het systeem door externe aanvallers”, schrijft NCSC. Veel websites en webapplicaties maken gebruik van PHP, die bijvoorbeeld regelt dat je op een site kunt inloggen of betalingen kunt doen.

Woensdag zijn in de loop van de dag steeds meer websites offline gehaald vanwege de twee lekken in programmeertaal PHP. Daaronder vallen onder meer de website van de Tweede Kamer en overheidsdiensten MijnOverheid.nl en DigiD.

Persbureau ANP meldt ook dat delen van het gezamenlijke computernetwerk van hogere onderwijsinstellingen „uit voorzorg” zijn uitgeschakeld. Wat de gevolgen daarvan zijn voor studenten en docenten is nog onbekend.

Een greep uit de andere websites die uit de lucht zijn: techwebsite Tweakers, de webpagina’s van de Autoriteit Persoonsgegevens, de Nederlandse Orde van Advocaten, voetbalclubs FC Twente en Fortuna Sittard, Politievakbond ACP, Apothekerskoepel KNMP, Scouting Nederland, de Kustwacht, de regionale vervoersmaatschappij EBS en RTL Nieuws.

Zo’n 70 procent van alle websites wereldwijd draait op PHP of toepassingen die gebruik maken van de programmeertaal. Het ‘veiligheidsteam’ van PHP meldt op de eigen site dat er om 16.00 uur Nederlandse tijd een update klaarstaat die de twee „kritieke kwetsbaarheden zal adresseren”. PHP roept haar gebruikers op om zich „nu voor te bereiden” zodat de beveiligingsupdate zodra die beschikbaar is doorgevoerd kan worden.

Cyberveiligheidsdienst CERT-EU van de Europese Unie heeft vanochtend gewaarschuwd voor twee „kritieke kwetsbaarheden” in programmeertaal PHP. Deze wordt op grote delen van het internet gebruikt.

De kwetsbaarheden in programmeertaal PHP hebben potentieel heel grote gevolgen, zegt ethisch hacker Wouter van Dongen tegen persbureau ANP. Wereldwijd draait ongeveer 70 procent van de websites op PHP of toepassingen daarvan. „Het gevaar is dat die sites worden overgenomen of dat iemand bij alle data kan”, stelt Van Dongen.

Twee beveiligingsupdates staan gepland voor 16.00 uur Nederlandse tijd. „CERT-EU adviseert organisaties om zich voor te bereiden op het onmiddellijk doorvoeren van deze updates.” Wie niet kan updaten, kan sites het beste offline halen, aldus de cyberveiligheidsdienst.

De Amerikaanse cyberbeveiliger Cloudflare meldt al de eerste aanvallen, zo melden persbureau. Dit verbaast Van Dongen niet. „Hier gaan hackersgroepen vol op inzetten”, zegt de expert tegenover het ANP.

Sommige organisaties halen momenteel websites offline. Notubiz, een dienst waarmee gemeenten, provincies en waterschappen officiële berichten publiceren, is uit voorzorg uitgeschakeld, meldt ANP. Ruim honderd mede-overheden maken gebruik van NotuBiz. Ze delen daar officiële informatie met raadsleden en Statenleden. Zulke mededelingen zijn ook zichtbaar voor het publiek. Gemeenten als Den Haag, Almere, Breda, Haarlem en Den Bosch, maken gebruik van NotuBiz, evenals provincies zoals Overijssel, Gelderland en Friesland.