Webhostingprovider Mijndomein haalde woensdag om 13.35 uur honderdduizenden websites en diensten tijdelijk offline. Aanleiding zijn twee kwetsbaarheden in de programmeertaal PHP, waarvoor de beveiligingsupdate op dat moment nog niet beschikbaar was. De ingreep is een van de zwaarste maatregelen die Nederlandse bedrijven tot dusver namen.
Ook veel andere organisaties haalden hun websites uit voorzorg uit de lucht, van de Tweede Kamer tot voetbalclubs en gemeenten. Het PHP-team kondigde de oplossing aan voor 16.00 uur Nederlandse tijd. Tot dat moment is volgens meerdere betrokkenen vrijwel ieder systeem met PHP dat vanaf het internet bereikbaar is, vermoedelijk kwetsbaar.
Twee kwetsbaarheden in de nacht gemeld
In de nacht van dinsdag op woensdag werd gewaarschuwd voor de twee kwetsbaarheden. Via een eenvoudig verzoek kunnen aanvallers op afstand eigen code uitvoeren op een server. Wat daarna precies mogelijk is, hangt af van de inrichting van het systeem, maar in veel gevallen kan een aanvaller de hele webserver overnemen, aldus Erik de Jong van cybersecuritybedrijf Tesorion.
De kwetsbaarheden zitten in vrijwel alle versies van PHP vanaf versie 5. Omdat populaire software als WordPress, Joomla en Drupal op deze taal draait, is de potentiële schaal groot. Ook netwerkapparatuur en beheerdersdashboards maken veelvuldig gebruik van de software.
Update vervroegd na uitgelekte details
Oorspronkelijk wilde het PHP-team de beveiligingsupdates pas donderdag uitbrengen. Nadat eerder deze week informatie over de kwetsbaarheden uitlekte via Hacker News, besloot de organisatie de update te vervroegen. Volgens PHP kan het tijdstip nog verder naar voren schuiven als meer technische details op straat komen te liggen.
Cyberbeveiliger Cloudflare meldde woensdagochtend dat bedrijven al te maken kregen met de eerste cyberaanvallen die op de kwetsbaarheden zijn gericht. Ethisch hacker Wouter van Dongen verbaast dat niet. ‘Hier gaan hackersgroepen vol op inzetten’, zegt hij. Hij haalde zelf zijn websites uit voorzorg offline.
Mijndomein kiest voor de rigoureuze route
Instellingen aanpassen helpt niet, meldde Mijndomein op de eigen statuspagina. ‘De enige volledige bescherming is de officiële beveiligingsrelease van PHP.’ Het bedrijf koos daarom voor het tijdelijk zwart maken van alle getroffen pagina’s. ‘Een tijdelijke onbereikbaarheid is voor ons een kleiner risico dan de mogelijkheid van een inbraak in uw website of gegevens.’
Het probleem treft klanten met de pakketten Webhosting Start, Webhosting Plus, Managed WordPress en Managed WooCommerce. Ook MijnAccount en de hoofdsite mijndomein.nl liggen eruit. Mijndomein voert de updates uit zodra ook leverancier Plesk de bijbehorende pakketten vrijgeeft. De diensten gaan daarna zo snel mogelijk weer online, belooft de hostingprovider.
Sport en politiek in het donker
De websites van de KNVB, Voetbal.nl en OnsOranje.nl zijn uit voorzorg offline gehaald. ‘We doen ons best om ervoor te zorgen dat je de website zo snel mogelijk weer kunt bezoeken’, meldt de voetbalbond. Ook de sites van FC Twente, Fortuna Sittard en Willem II zijn niet bereikbaar.
Bij de politiek is het beeld gemengd. VVD, CDA, PRO, BBB en PvdD melden dat hun sites preventief offline zijn. De sites van D66, SGP, ChristenUnie, DENK en JA21 liggen er ook uit, maar zonder vermelde reden. De websites van PVV, FVD, Groep Markuszower, SP en 50PLUS waren nog gewoon in de lucht.
Overheden en publieke diensten
De website van de Tweede Kamer is uit voorzorg offline gehaald. ‘Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server’, zegt een woordvoerder. Ook MijnOverheid ligt eruit. Logius, de beheerder, bevestigt dat. Daarnaast zijn de websites van gemeenten als Vlissingen, Eindhoven, Maastricht en Maassluis uit voorzorg offline.
De Autoriteit Persoonsgegevens meldt dat haar website eruit ligt en dat zij voorzorgsmaatregelen neemt. Bij Defensie ligt werkenbijdefensie.nl eruit, terwijl de reguliere site online blijft omdat die geen PHP gebruikt. De Vereniging van Nederlandse Gemeenten meldt dat NotuBiz zijn platform Politiek Portaal tijdelijk offline haalde.
Wie wel online bleef
Niet iedereen trok de stekker eruit. Picnic hield zijn website in de lucht. Volgens een woordvoerder is die alleen een uithangbord waarop niet kan worden besteld, en draaien de bestelapp en alle belangrijke systemen niet op PHP. Picnic voert de patches door zodra ze beschikbaar komen.
De Nederlandse Spoorwegen zien op dit moment geen impact en verwachten die ook niet. De teams zitten klaar om maatregelen te nemen, zoals het doorvoeren van de patch. De websites van de grote banken, zoals Rabobank en ING, waren volgens een inventarisatie vooralsnog gewoon bereikbaar. Bij Schiphol ging alleen de app uit de lucht.
Risico’s voor bezoekers en bedrijven
Slaagt een aanvaller erin een kwetsbare website over te nemen, dan kan hij mogelijk bij gegevens die via die site worden verwerkt, legt cybersecuritykenner Joep Kremer van ilionx uit. Dat kan gevolgen hebben voor consumenten, bijvoorbeeld wanneer klantgegevens worden buitgemaakt. Ook kunnen overgenomen sites worden gebruikt voor nieuwe aanvallen op bezoekers.
Het Nationaal Cyber Security Centrum adviseert organisaties de patch snel te installeren zodra die er is. Tot die tijd moeten ze per systeem een risicoafweging maken. Peter Mosmans van Radically Open Security wijst erop dat aanvallers kunnen proberen verder een bedrijfsnetwerk in te komen of kwaadaardige code op webservers te plaatsen.
Wachten op de patch van 16.00 uur
Het NCSC meldde eerder op woensdag nog geen signalen te hebben van actief misbruik op Nederlandse domeinen. De Fraudehelpdesk, die zelf offline ligt, kreeg naar eigen zeggen nog geen meldingen van misbruik binnen. Cloudflare zag wel de eerste aanvallen op de kwetsbaarheden zelf. Hoe groot het effect in Nederland wordt, is nog onbekend.
Een woordvoerder van Defensie verwacht de site op zijn vroegst na 16.00 uur terug, wanneer de updates er zijn. Voor Mijndomein geldt hetzelfde: pas na de patch en de pakketten van Plesk kunnen de servers worden bijgewerkt. Tot die tijd blijven honderdduizenden websites zwart.
Bronnen: Parool.nl, Telegraaf.nl
Dit artikel is tot stand gekomen met ondersteuning van
kunstmatige intelligentie (AI). Ter ondersteuning van onze
menselijke redacteurs gebruiken wij Google Gemini met
zoekfunctionaliteit om informatie te verzamelen,
nieuwsfeiten te structureren en een artikel op te stellen. Vóór publicatie controleert een menselijke
redacteur de feiten, bronnen en inhoud. Waar nodig worden
onjuistheden gecorrigeerd en wordt de tekst aangepast voor een
natuurlijke en duidelijke schrijfstijl. AI ondersteunt ons
redactionele proces, maar vervangt de menselijke controle
niet. De uiteindelijke verantwoordelijkheid ligt bij onze
redactie.
