PHP-lek legt DigiD, MijnOverheid en Tweede Kamer plat

In dit artikel:

Twee ernstige kwetsbaarheden in de programmeertaal PHP legden woensdag uit voorzorg veel digitale diensten plat. Via de lekken kunnen aanvallers zonder in te loggen eigen code op servers uitvoeren. PHP gaf de fouten een ernstscore van 9,2 op 10; het NCSC waarschuwde voor een zeer hoog risico op volledige systeemovername. Naar schatting draait ongeveer 70 procent van de websites op PHP.

In Nederland gingen onder meer DigiD, MijnOverheid, de website van de Tweede Kamer, het NCSC, gemeentelijke systemen, de UWV-ziekmeldtool, de app van Schiphol en websites van ziekenhuizen en onderwijsinstellingen offline. Ook overheden in België, Frankrijk en Finland namen vergelijkbare maatregelen. Het NCSC benadrukte dat het om een softwarefout gaat en niet om een gerichte aanval. Volgens minister Van Weel zijn er geen aanwijzingen voor actief misbruik, al meldt Cloudflare wel dat het eerste aanvalspogingen blokkeert. PHP bracht woensdagmiddag versneld beveiligingsupdates uit; bijwerken is volgens de ontwikkelaars de enige veilige oplossing. Het is nog onbekend of gegevens zijn buitgemaakt.