Steeds meer websites offline gehaald vanwege lek, risico op hacks

vandaag, 09:10

Verschillende bedrijven en organisaties halen websites uit de lucht in verband met twee grote lekken in programmeertaal PHP. Het gaat onder meer om de website van de Tweede Kamer en de populaire techwebsite Tweakers.

Ook het Nationaal Cyber Security Centrum (NCSC) van de overheid heeft zijn website uit de lucht gehaald, net als de Autoriteit Persoonsgegevens. Omroep Flevoland publiceert tijdelijk geen nieuwe artikelen meer.

Ook verschillende systemen in het hoger onderwijs zijn offline gehaald, meldt persbureau ANP, al is niet direct duidelijk om welke sites het gaat. Verschillende kleinere websites, zoals die van busmaatschappij EBS, zijn ook uit de lucht gehaald. Abonnementen afsluiten en beheren kan tijdelijk niet bij kranten van DPG Media.

Vanochtend werd Notubiz al uit de lucht gehaald, een systeem waarmee honderd gemeenten vergaderen. Ook persbureau ANP heeft uit voorzorg systemen offline gehaald.

Achterdeurtjes

De vrees van veel organisaties is dat de grote lekken in PHP kunnen worden misbruikt om in te breken in systemen. Door die lekken is het voor hackers een stuk makkelijker om achterdeurtjes in websites te vinden en die te misbruiken.

Het Amerikaanse Cloudflare, dat voor veel populaire websites als een soort firewall fungeert, ziet inmiddels de eerste aanvallen voorbijkomen. De firewall van Cloudflare vangt pogingen af om het lek te misbruiken, belooft het bedrijf. Dat is echter niet waterdicht.

Het NCSC heeft daarentegen nog geen actief misbruik van het lek gezien, maar drukt bedrijven op het hart om PHP zo snel mogelijk te updaten. "Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar", schrijft de instantie.

Updaten kan nu nog niet. Een permanente oplossing komt vanmiddag om 16.00 uur. Gisteren kondigde de organisatie achter PHP al een oplossing aan voor het probleem, maar in de tussentijd lijken hackers een manier te hebben gevonden om het probleem te misbruiken.

Afnemende populariteit

PHP is een van de meest gebruikte programmeertalen. Hoewel het marktaandeel van PHP al jaren afneemt, gebruikt het overgrote deel van de websites de taal nog steeds.

Het gevonden lek is een van de ernstigste categorieën. Aanvallers die het lek weten te vinden, kunnen zelf eigen programmeercode uitvoeren op het aangevallen systeem. Daarmee kunnen ze verder doordringen in een website en bijvoorbeeld zelfs gebruikersdata stelen.

Ethisch hackers vinden aan de lopende band beveiligingsproblemen in software. Meestal worden die gedicht voordat hackers de problemen op grote schaal kunnen misbruiken. Als het wel misgaat, kunnen de gevolgen groot zijn. Zo ging het Openbaar Ministerie gedwongen offline na zo'n zogenoemd zero day-lek.