Websites massaal op zwart door PHP-lek, NCSC ziet nog geen misbruik: zo groot is het gevaar voor jou

In dit artikel:

Op woensdag 21 oktober gingen veel grote Nederlandse websites tijdelijk offline, waaronder MijnOverheid, de informatiepagina van DigiD, RTL Nieuws, de Tweede Kamer, ziekenhuizen, provincies en de KNVB. De maatregel volgde op de ontdekking van twee ernstige kwetsbaarheden in PHP, een programmeertaal die op veel webservers wordt gebruikt. Het Nationaal Cyber Security Centrum (NCSC) zag tot die middag geen aanwijzingen voor actief misbruik; het offline halen was uit voorzorg.

De kwetsbaarheden hebben een ernstscore van 9,2 op 10. Aanvallers zouden zonder wachtwoord code op een webserver kunnen uitvoeren en die mogelijk overnemen. Details over het lek kwamen op 20 oktober naar buiten, nog voordat een oplossing beschikbaar was. Vooral websites die PHP gebruiken in combinatie met de webserver Apache lopen risico. De kwetsbaarheid kan daar worden misbruikt voordat de website zelf een verzoek verwerkt.

PHP bracht woensdagmiddag patches uit voor de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Beheerders moeten die reparaties zelf installeren; websites worden niet automatisch veilig of weer bereikbaar. Het NCSC en Europese en Australische cyberinstanties adviseerden organisaties die niet snel konden bijwerken hun websites tijdelijk offline te halen. Ook Vlaamse overheidswebsites gingen uit voorzorg op zwart. Er zijn geen aanwijzingen dat bij Nederlandse overheidsdiensten of RTL gegevens zijn gestolen.

Voor internetgebruikers was het directe risico beperkt: inloggen met DigiD bij andere diensten bleef volgens de NOS mogelijk en uitkeringen, toeslagen en AOW werden niet geraakt. Wel kunnen nog kwetsbare websites worden overgenomen, gegevens lekken of bezoekers naar nepsites doorsturen. Gebruikers wordt geadviseerd later opnieuw te proberen wanneer een overheidswebsite niet werkt, geen links te openen in onverwachte DigiD- of bankberichten en wachtwoorden niet te hergebruiken, te beginnen met het e-mailaccount.