Afbeelding gemaakt met Gemini AI van Google
Websites massaal op zwart door PHP-lek, NCSC ziet nog geen misbruik: zo groot is het gevaar voor jou
Wilt u DDS vaker zien?
Stel DDS in als voorkeursbron op Google.
Voeg DDS toe op GoogleWoensdag 21 oktober gingen in Nederland veel grote websites tegelijk op zwart: MijnOverheid, de informatiesite van DigiD, RTL Nieuws, de Tweede Kamer, ziekenhuizen, provincies en de KNVB. De oorzaak is een ernstig lek in PHP, de programmeertaal waarop een groot deel van het internet draait. Dat klinkt als een grote hack, maar dat is het niet. Het gaat om een voorzorgsmaatregel: het NCSC zag tot de middag nog geen actief misbruik van het lek.
Voor jou als gewone internetgebruiker is het directe risico klein. Inloggen met DigiD bij andere diensten werkte volgens de NOS 's middags gewoon, alleen de informatiewebsite digid.nl was offline. Je AOW, toeslag of uitkering staat los van deze websites.
Toch is het lek serieus, en het gevaarlijkste moment komt mogelijk nu pas, nu de reparatie uit is. Hieronder lees je wat er bekend is, wat niet, en waar je zelf op moet letten.
Wat er precies aan de hand is
In PHP zitten twee kwetsbaarheden die als kritiek zijn beoordeeld, met een score van 9,2 op een schaal van 10. In theorie kan een aanvaller daarmee zonder wachtwoord code uitvoeren op een webserver en die zo overnemen. Details over het lek lekten op 20 oktober uit, voordat er een reparatie klaar was. Beveiligingsbedrijf watchTowr wist een van de twee lekken na te bootsen, zo meldt Huntress.
Woensdagmiddag kwam de reparatie, een zogeheten patch, uit. Volgens de PHP-organisatie dichten de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 beide lekken. Het risico geldt volgens PHP voor alle installaties die webverzoeken afhandelen, het grootst bij een veelgebruikte koppeling met webserver Apache. Daarvoor bestaat al een werkende aanval die toeslaat voordat de website zelf iets doet. Beheerders moeten de patch wel zelf installeren: een website gaat dus niet vanzelf weer open.
Waarom Nederland zoveel sites offline haalde
Het NCSC waarschuwde dat "ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar" is, meldt de NOS. Ook het Europese cyberteam CERT-EU adviseerde organisaties die niet snel kunnen bijwerken om hun website offline te halen. Dat advies was volgens The Next Web deels gebaseerd op berichten op sociale media, omdat PHP toen nog niet had gezegd welke versies kwetsbaar zijn.
Het NCSC liet het uiteindelijk aan organisaties zelf over: offline gaan is een alternatief, na een eigen risicoafweging. Veel Nederlandse overheidsdiensten, ziekenhuizen en media kozen voor het zekere. Ook in België gingen alle Vlaamse overheidswebsites tijdelijk offline, en het Australische cybercentrum gaf een vergelijkbaar advies.
Wat wel en niet bekend is
- Bekend: het lek is echt, het is ernstig en het treft PHP zelf, niet één website of programma.
- Bijgewerkt: de patch is uit voor PHP 8.2 en nieuwer. Beheerders moeten die zelf installeren.
- Misbruik: het NCSC en de PHP-organisatie zagen woensdagmiddag nog geen actief misbruik. Wel zag internetbedrijf Cloudflare 's ochtends de eerste aanvalspogingen.
- Gevaar na de patch: nu de reparatie uit is, kunnen kwaadwillenden die ontleden om te zien waar het lek zit. Websites die nog niet zijn bijgewerkt, lopen het grootste risico.
- Oude versies: PHP 8.1 en ouder krijgen geen nieuwe versie meer. Voor 7.4, 8.0 en 8.1 levert het PHP-beveiligingsteam wel minimale reparaties voor wie PHP zelf bouwt, en sommige leveranciers bieden een eigen reparatie aan; websites op zo'n oude versie lopen het meeste risico.
Wat het voor jou betekent
Er is geen aanwijzing dat er bij de overheid of bij RTL gegevens zijn gestolen. Een website die offline is, is juist beschermd. Het risico zit vooral bij websites die het lek niet snel dichten. Daar kan een aanvaller in theorie gegevens buitmaken of de site gebruiken om bezoekers naar een nepsite te sturen.
Moest je vandaag iets regelen via MijnOverheid of een gemeente, probeer het dan later opnieuw. Een bezwaar tegen een besluit van de overheid kun je ook per brief sturen. Het adres staat in de brief met het besluit.
Pas op voor nepberichten
Bij grote storingen duiken vaak nepmails en nep-sms'jes op, bijvoorbeeld dat je DigiD "opnieuw moet activeren" of dat je gegevens "na een beveiligingslek" moeten worden gecontroleerd. Klik niet op zulke links. Ga zelf naar de website van de instantie en log daar in. De overheid en je bank vragen je nooit via een link in een mail of sms om in te loggen of codes te geven.
Gebruik je overal hetzelfde wachtwoord, dan is dit een goed moment om dat te veranderen, te beginnen bij je e-mail. Dat helpt los van dit lek ook tegen andere datalekken.
Wil je vaker zulke uitleg over je geld in je tijdlijn? Like en volg DDS op Facebook.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Loading
