Website gemeente Dijk en Waard uit voorzorg offline door ernstige PHP-lekken

De kwetsbaarheden in PHP kunnen hackers de mogelijkheid geven om op afstand schadelijke code uit te voeren op computersystemen. Daardoor zouden ze bijvoorbeeld toegang kunnen krijgen tot websites en gegevens kunnen buitmaken. Om dat risico te beperken, kiezen verschillende organisaties ervoor hun websites tijdelijk onbereikbaar te maken totdat een beveiligingsupdate beschikbaar is en geïnstalleerd kan worden.

Ook DigiD en Tweede Kamer getroffen

De problemen beperken zich niet tot Dijk en Waard. Ook de websites van onder meer MijnOverheid, DigiD, diverse veiligheidsregio’s waaronder Noord-Holland Noord en de Tweede Kamer zijn uit voorzorg offline gehaald. Daarnaast zijn de nieuwssite en app van RTL en techwebsite Tweakers getroffen.

Ook het Nationaal Cyber Security Centrum (NCSC), de Autoriteit Persoonsgegevens en persbureau ANP hebben systemen tijdelijk uitgeschakeld. Vergaderplatform Notubiz, dat door ongeveer honderd gemeenten wordt gebruikt, is eveneens offline gehaald. Daardoor kunnen ook gemeentelijke vergaderingen en de bijbehorende informatievoorziening worden geraakt.

De website van de provincie Noord-Holland is op het moment van schrijven nog wel online. Daarmee is er in de regio verschil in de bereikbaarheid van overheidswebsites.

Ernstige kwetsbaarheden

PHP is een veelgebruikte programmeertaal voor websites en online toepassingen. Twee ernstige beveiligingslekken maken het mogelijk dat aanvallers zonder toegang vooraf eigen code uitvoeren op een server, met mogelijk datadiefstal als gevolg. Beveiligingsbedrijven zagen pogingen tot misbruik, al meldde het Nederlandse NCSC eerder woensdag nog geen actief misbruik. Organisaties wordt geadviseerd kwetsbare systemen zo nodig offline te halen. PHP-ontwikkelaars werken aan beveiligingsupdates, waarna websites veilig kunnen worden bijgewerkt.

Voorzorgsmaatregel

Het offline halen van een website betekent overigens niet automatisch dat er daadwerkelijk is ingebroken of dat gegevens zijn gestolen. Het gaat in dit geval om voorzorgsmaatregelen vanwege het risico dat de beveiligingslekken kunnen worden misbruikt.