LIVE | Cyberexperts: 'PHP-lek heeft ook na patch nog maanden gevolgen'
Tech-nieuws
Vandaag, 13:30
Steeds meer Nederlandse websites en digitale diensten zijn woensdag uit voorzorg offline gehaald vanwege kwetsbaarheden in de veelgebruikte programmeertaal PHP. Ook MijnOverheid is inmiddels niet meer bereikbaar, bevestigt Logius. De ontwikkelaars van PHP hebben woensdagmiddag twee patches beschikbaar gesteld. Beheerders van websites hebben het dringende advies gekregen om de reparaties zo snel mogelijk door te voeren. In dit liveblog houden we je op de hoogte van de laatste ontwikkelingen.
Eerder werden onder meer de website van de Tweede Kamer, een digitaal platform van ruim honderd overheden, sites van politieke partijen en delen van het computernetwerk van het hoger onderwijs uitgeschakeld.
In het kort
19.18 uur | Diverse websites weer online na beveiligingslek in PHP
Verschillende websites zijn weer online nadat een beveiligingslek in de veelgebruikte programmeertaal PHP is aangepakt. Onder meer MijnOverheid, Pathé Thuis en Stichting Ambulance Wens zijn weer bereikbaar. Ook websites van ziekenhuizen en verschillende gemeenten, zoals Tilburg en Lochem, zijn weer online.
Ondanks dat de website weer bereikbaar is, kan Stichting Ambulance Wens rond 19.00 uur nog altijd niet bij de digitale planning met informatie over de laatste wensen. "We verwachten ieder moment dat dit wordt opgelost", laat een woordvoerder van de stichting weten.
18.50 uur | Ook sites van ziekenhuizen komen na patch PHP weer online
Ziekenhuizen zetten hun websites weer open na het repareren van een gat in de beveiliging van de veelgebruikte programmeertaal PHP.
De websites van onder meer ziekenhuis Amphia in Breda, Frisius MC in Leeuwarden en Heerenveen, het Jeroen Bosch Ziekenhuis in Den Bosch, Maastricht UMC+, het St. Jans Gasthuis in Weert zijn weer online.
Nij Smellinghe in Drachten meldt dat de site het weer doet, maar "nog niet alle functionaliteiten zijn volledig beschikbaar. Mogelijk ondervindt u hier hinder van. Dit wordt zo snel mogelijk opgelost." Volgens het St. Antonius Ziekenhuis in Nieuwegein heeft de kwetsbaarheid bij PHP "niet geleid tot verlies of diefstal van persoonsgegevens".
Andere ziekenhuissites zijn nog wel uit de lucht.
18.35 uur | Gemeentesites komen weer online, raadsinformatie volgt donderdag
Nu de patches tegen de kwetsbaarheden in programmeertaal PHP worden doorgevoerd, komen de sites van gemeenten langzaam maar zeker weer online. Ze waren woensdag uit voorzorg uitgeschakeld. Sites voor raadsinformatie waren ook offline gehaald, maar die komen waarschijnlijk donderdag pas weer beschikbaar.
De sites van onder meer Eindhoven en Lochem zijn weer beschikbaar. Zwolle, Maastricht, Den Bosch, Emmen en Maassluis zijn nog uit de lucht.
18.26 uur | Websites meerdere politieke partijen weer online
De websites van een aantal politieke partijen zijn weer online, nadat ze eerder woensdag offline werden gehaald vanwege twee kwetsbaarheden in de PHP-programmeertaal.
De websites van het CDA, JA21, de BBB en de Partij voor de Dieren zijn weer te bezoeken. De websites van de VVD, PRO, D66, de ChristenUnie, de SGP, Volt en DENK zijn nog niet online. De websites van PVV, FVD, Groep Markuszower (DNA), SP en 50PLUS zijn niet offline gehaald.
De website van de Tweede Kamer is nog steeds niet te bezoeken. Ook andere overheidswebsites zoals MijnOverheid.nl en DigiD.nl zijn nog offline.
17.32 uur | Cyberexperts: PHP-lek heeft ook na patch nog maanden gevolgen
De kwetsbaarheden in programmeertaal PHP gaan nog maanden gevolgen hebben, ook nu beveiligingsupdates beschikbaar zijn, waarschuwen cybersecurity-experts. Wereldwijd zullen naar verwachting nog een enorm aantal systemen niet direct bijgewerkt worden. Hackers kunnen daar de komende tijd misbruik van maken.
"Een patch dicht het lek, maar maakt een eerdere inbraak niet ongedaan", zegt ethisch hacker Wouter van Dongen. "Veel systemen zullen nog lange tijd kwetsbaar blijven, omdat niet iedereen direct updatet en oudere PHP-versies geen officiële beveiligingsupdates meer krijgen. Hackers zullen actief naar die systemen blijven zoeken." Ook kunnen aanvallers volgens hem al een achterdeur hebben geplaatst. "Daarmee kunnen ze later opnieuw toegang krijgen, zelfs als de kwetsbaarheid inmiddels is verholpen."
"De komende dagen, weken en maanden gaan we hier nog wel van horen", zegt ook IT-beveiligings expert Sijmen Ruwhof:
17.13 uur | Computernetwerk hoger onderwijs weer online na PHP-reparatie
Het computernetwerk van het hoger onderwijs is woensdag sinds het einde van de middag weer beschikbaar. SURF, de organisatie achter het systeem, heeft de patches doorgevoerd om de kwetsbaarheden in de veelgebruikte programmeertaal PHP te dichten.
SURF waarschuwt wel dat het nog even kan duren voordat alle diensten weer helemaal online zijn. De instantie verwacht uiterlijk donderdagochtend "alle diensten weer veilig beschikbaar te hebben".
17.07 uur | Website en app RTL Nieuws na problemen met PHP weer online
De app en website van RTL Nieuws zijn na een paar uur offline te zijn geweest weer online. De website was net als vele andere sites uit voorzorg offline gehaald vanwege kwetsbaarheden in de programmeertaal PHP.
Nog niet alle websites die eerder uit voorzorg offline zijn gehaald, zijn weer bereikbaar.
17.02 uur | 'Kwetsbaarheden in PHP zijn al jaren oud'
De kwetsbaarheden in de belangrijke programmeertaal PHP zijn al ruim tien jaar oud. Dat schrijft cyberbeveiliger Wiz, dat de zwakke plekken met behulp van geavanceerde kunstmatige intelligentie zegt te hebben opgespoord.
"De kwetsbare code zat er al ruim een decennium. Wat is veranderd door AI, is de mogelijkheid om de zwakke plekken te doorgronden en ze te misbruiken", schrijft het Israëlisch-Amerikaanse Wiz, dat in maart door Google werd gekocht. "Met de geavanceerdste AI-modellen en het juiste gereedschap slaagde een enkele onderzoeker binnen een week in iets wat een topteam voorheen maanden werk zou hebben gekost."
17.01 uur | Van Weel: websites offline halen heeft impact op samenleving
Het feit dat veel websites offline zijn gehaald vanwege twee kwetsbaarheden in programmeertaal PHP "heeft impact in onze digitale samenleving", aldus justitieminister David van Weel. Het is de eerste reactie van het kabinet, op het moment dat er al een oplossing beschikbaar is gesteld door PHP.
"Er zijn op dit moment gelukkig nog geen signalen dat de kwetsbaarheden actief misbruikt worden", laat Van Weel ook weten via een woordvoerder.
16.21 uur | Webwinkels krijgen advies contact op te nemen met sitebeheerder
Webwinkels moeten woensdag nog contact opnemen met hun technische beheerder, hostingpartij of softwareleverancier. Dat is het advies van Thuiswinkel.org, de brancheorganisatie voor webwinkels, aan haar leden na waarschuwingen over kwetsbaarheden in de programmeertaal PHP. Webwinkels kunnen zo laten controleren of hun systemen PHP gebruiken, of ze worden geraakt en welke maatregelen er nodig zijn.
De brancheorganisatie heeft zelf het goede voorbeeld gegeven en bepaalde eigen websites tijdelijk offline gehaald. Voor webwinkeliers die zelf een server beheren, adviseert Thuiswinkel om te kijken of de betreffende PHP-beveiligingsupdate beschikbaar is en deze dan zo snel mogelijk te installeren. Daarnaast zegt de organisatie dat leden niet alleen WordPress, WooCommerce of een ander systeem, maar elke versie moeten laten vervangen.
16.04 uur | Patch om gat in programmeertaal PHP te dichten is beschikbaar
De ontwikkelaars van programmeertaal PHP hebben woensdag twee patches beschikbaar gesteld. Die zijn gemaakt om de ontdekte kwetsbaarheden te dichten. Beheerders van websites hebben het dringende advies gekregen om de reparaties zo snel mogelijk door te voeren. Daarna kunnen veel sites weer online, is de verwachting.
15.44 uur | 'Websites mogelijk niet direct online na PHP-update'
Websites die vanwege de kwetsbaarheden in PHP offline zijn gehaald, kunnen mogelijk niet allemaal direct weer online na de belangrijke software-update van 16.00 uur. Volgens het Nationaal Cyber Security Centrum (NCSC) kan het herstel enkele minuten tot uren duren, maar in sommige gevallen ook langer. Dat hangt af van de gebruikte softwareversie.
Het NCSC verwacht binnen een uur na het verschijnen van de update met een advies te komen. Volgens plaatsvervangend directeur Corine Schipper-Derkse is het bovendien mogelijk dat er later nog een tweede update nodig is als de eerste niet alle problemen oplost.
15.55 uur | Website supermarkt Hoogvliet uit voorzorg offline
De website van supermarktketen Hoogvliet is woensdag, uit voorzorg, ook offline gehaald. Dat laat Hoogvliet weten. "Onze teams zijn hard aan het werk om ervoor te zorgen dat updates zo snel mogelijk kunnen worden geïnstalleerd", valt te lezen op de site.
PHP heeft aangekondigd om 16.00 uur een belangrijke veiligheidsupdate te publiceren die het probleem moet verhelpen.
Websites van andere supermarktketen zoals Albert Heijn, Jumbo, PLUS en ALDI zijn wel online.
15.15 uur | Websites meerdere veiligheidsregio's offline om PHP-zorgen
Websites van zeker 13 van de 25 veiligheidsregio's in Nederland zijn woensdag offline door kwetsbaarheden in de programmeertaal PHP. Organisaties halen hun websites uit voorzorg uit de lucht vanwege het risico op digitale aanvallen. Dat blijkt uit een inventarisatie van het ANP.
Onder meer de websites van de veiligheidsregio's IJsselland, Twente, Gelderland-Midden, Noord-Holland-Noord, Rotterdam-Rijnmond en Zeeland zijn niet bereikbaar. De websites van Groningen, Friesland, Drenthe en Amsterdam-Amstelland zijn wel online.
Ook de website van netbeheerder Westland en Midden-Delfland is tijdelijk niet bereikbaar. Dat geldt eveneens voor de app Rijnmondveilig, die inwoners van de regio Rotterdam-Rijnmond informatie geeft over grote incidenten.
15.05 uur | App en site Pathé Thuis ook onbereikbaar
De site en apps van streamingdienst Pathé Thuis zijn uit voorzorg tijdelijk offline vanwege een veiligheidsprobleem in de programmeertaal PHP. Pathé zegt het advies te volgen van het Nationaal Cyber Security Centrum (NCSC).
Het is niet bekend hoe lang de dienst niet bereikbaar is. "Pathé Thuis doet er alles aan om de site en apps zo snel mogelijk weer online te brengen", aldus een woordvoerder.
14.45 uur | Meerdere sites van ziekenhuizen uit de lucht om PHP-waarschuwing
Meerdere ziekenhuizen hebben woensdag hun websites offline gehaald na de waarschuwing voor kwetsbaarheden in de programmeertaal PHP. Bij andere ziekenhuizen is de hoofdpagina wel beschikbaar, maar zijn sommige diensten uit de lucht.
De sites van onder meer Maastricht UMC+, het Jeroen Bosch Ziekenhuis in Den Bosch, BovenIJ in Amsterdam, het Rode Kruis Ziekenhuis in Beverwijk, het St. Jans Gasthuis in Weert en het Albert Schweitzer Ziekenhuis in Dordrecht zijn niet bereikbaar.
14.34 uur | Ook websites van politieke partijen offline
Websites van meerdere politieke partijen zijn woensdag offline. In de nacht van dinsdag op woensdag werd gewaarschuwd voor kwetsbaarheden in de veelgebruikte programmeertaal PHP.
VVD, CDA, PRO, BBB en PvdD melden dat hun sites tijdelijk preventief offline zijn gehaald vanwege het risico. De site van Volt ligt er even uit vanwege "onderhoud". Ook de sites van D66, SGP, ChristenUnie, DENK en JA21 zijn offline. Daarbij staat geen reden vermeld, maar het is aannemelijk dat het door de problemen met PHP komt.
De sites van PVV, FVD, Groep Markuszower (DNA), SP en 50PLUS zijn nog in de lucht.
14.22 uur | PHP Foundation: geen signalen van misbruik
Het team achter programmeertaal PHP zegt geen indicatie te hebben dat de eerder aangetroffen kwetsbaarheden in de programmeertaal actief worden uitgebuit door kwaadwillenden. Dat zegt de Amerikaanse PHP Foundation desgevraagd tegen het ANP. Circa 70 procent van alle websites gebruikt PHP of een voortvloeisel daarvan.
14.01 uur | Ook Schiphol-app uit voorzorg offline
Schiphol heeft de eigen app tijdelijk offline gehaald vanwege de kwetsbaarheden in programmeertaal PHP. Dat meldt een woordvoerder van de luchthaven. De website van Schiphol blijft voorlopig wel bereikbaar.
"We zijn op de hoogte van de berichtgeving en volgen ontwikkelingen rond digitale dreigingen vanzelfsprekend nauwgezet. Naar aanleiding hiervan nemen we uit voorzorg maatregelen", aldus de woordvoerder.
13.55 uur | Websites politieke partijen massaal offline
Ook de websites van meerdere politieke partijen zijn woensdag niet meer bereikbaar. VVD, CDA, PRO, BBB en Partij voor de Dieren melden dat hun websites uit voorzorg offline zijn gehaald vanwege de kwetsbaarheden in PHP.
De websites van D66, SGP, ChristenUnie, DENK en JA21 zijn eveneens niet bereikbaar. Bij deze partijen wordt geen reden vermeld. Volt meldt dat de website tijdelijk offline is vanwege onderhoud.
De websites van onder meer PVV, Forum voor Democratie, SP en 50PLUS zijn nog wel bereikbaar.
13.55 uur | KNVB, voetbalclubs en sportbonden halen websites offline
Ook de sportwereld wordt geraakt door de problemen met PHP. De KNVB heeft uit voorzorg zijn websites offline gehaald. Daardoor zijn onder meer Voetbal.nl en OnsOranje.nl niet bereikbaar.
"Onze websites zijn tijdelijk niet bereikbaar", meldt de voetbalbond. "We doen ons best om ervoor te zorgen dat je de website zo snel mogelijk weer kunt bezoeken."
Ook de websites van FC Twente, Fortuna Sittard, Willem II en FC Groningen zijn niet bereikbaar. Daarnaast liggen de websites van verschillende sportbonden eruit, waaronder de judobond, roeibond, wielerbond en zwembond. Ook de website van schaatsbaan Thialf is offline.
13.27 uur | Verschillende nieuwssites offline
DPG Media heeft woensdag aan het begin van de middag "uit voorzorg" een aantal sites tijdelijk offline gehaald in verband met de gemelde kwetsbaarheden in de programmeertaal PHP. "Op dit moment analyseren we de situatie. Uit voorzorg hebben we besloten een aantal sites tijdelijk offline te halen. Vooralsnog zijn er geen incidenten gemeld voor onze sites, maar onze experts houden de ontwikkelingen in de gaten", zegt een woordvoerder. Onder meer RTL en het AD zijn onderdeel van DPG Media.
RTL Nieuws meldde tegen 13.00 uur dat de website en de app offline gaan om het veiligheidsprobleem. "RTL Nieuws blijft wel nieuws brengen via social media, tv en liveblog", aldus een verklaring op de website van RTL.
Ook de site De Correspondent is woensdagmiddag uit voorzorg offline gehaald. Dat laat hoofdredacteur Rob Wijnberg weten in een mail aan de abonnees. Wijnberg spreekt de hoop uit "zo snel mogelijk weer bereikbaar te zijn". Het is niet bekend hoe lang de site offline blijft.
13.07 uur | MijnOverheid uit voorzorg offline
De website MijnOverheid is woensdag uit voorzorg offline gehaald vanwege de waarschuwing voor kwetsbaarheden in PHP. Dat bevestigt een woordvoerder van Logius, dat de website beheert. Op MijnOverheid kunnen burgers gegevens inzien of doorgeven over bijvoorbeeld hun werk of woonsituatie. Ook de website van DigiD is niet meer toegankelijk.