Grote websites en overheidsdiensten offline door ernstig beveiligingslek

Tientallen grote websites en digitale diensten in Nederland zijn woensdag tijdelijk uit de lucht gehaald vanwege ernstige beveiligingsproblemen in de programmeertaal PHP. Onder meer DigiD, MijnOverheid, het RIVM en de ANWB werden getroffen door de voorzorgsmaatregelen. Ook ziekenhuizen, gemeenten en nieuwsorganisaties schakelden systemen uit. Inmiddels is een beveiligingsupdate beschikbaar gekomen.

De problemen ontstonden nadat twee ernstige kwetsbaarheden waren ontdekt in PHP, een programmeertaal die wereldwijd op grote schaal wordt gebruikt voor websites en digitale toepassingen. Via de beveiligingslekken zouden kwaadwillenden onder bepaalde omstandigheden toegang kunnen krijgen tot systemen.

Het Nationaal Cyber Security Centrum (NCSC) waarschuwde organisaties woensdag voor de risico’s en adviseerde om kwetsbare systemen zo snel mogelijk te beveiligen. Veel organisaties besloten hun websites tijdelijk offline te halen, in afwachting van een oplossing.

DigiD, MijnOverheid en ziekenhuizen getroffen

De gevolgen waren woensdag in heel Nederland merkbaar. Onder meer de websites van DigiD, MijnOverheid, het Rijksinstituut voor Volksgezondheid en Milieu (RIVM) en de ANWB werden tijdelijk onbereikbaar gemeld.

Ook verschillende ziekenhuizen haalden hun websites uit voorzorg offline. Het ging onder meer om het Jeroen Bosch Ziekenhuis in Den Bosch, het Albert Schweitzer Ziekenhuis in Dordrecht en het Haaglanden Medisch Centrum.

Daarnaast ondervonden gemeenten, onderwijsinstellingen, politieke partijen en nieuwsorganisaties hinder van de beveiligingsproblemen. Bij RTL Nieuws gingen zowel de website als de app tijdelijk uit de lucht.

Ook diensten van Schiphol en UWV geraakt

De problemen hadden niet alleen gevolgen voor websites. In de app van Schiphol waren tijdelijk geen actuele vluchtgegevens beschikbaar. De luchthaven verwees reizigers daarom naar de eigen website.

Ook uitkeringsinstantie UWV schakelde bepaalde digitale toepassingen uit. Zo was een voorziening waarmee mensen zich ziek of beter kunnen melden tijdelijk niet beschikbaar. De reguliere website van UWV bleef wel bereikbaar.

Beveiligingsupdate inmiddels beschikbaar

Woensdagmiddag om 15.43 uur werd een beveiligingsupdate voor PHP beschikbaar gesteld. Daarmee kunnen beheerders de ontdekte kwetsbaarheden verhelpen.

Het beschikbaar komen van de update betekent niet dat alle websites direct weer bereikbaar zijn. Organisaties moeten de nieuwe software eerst installeren en controleren of hun systemen veilig kunnen worden ingeschakeld.

Het NCSC adviseert bedrijven en instellingen om de beveiligingsupdate zo snel mogelijk door te voeren.

Geen aanwijzingen voor grootschalige hack

Hoewel de kwetsbaarheden ernstige gevolgen kunnen hebben, betekent het tijdelijk uitschakelen van een website niet dat deze daadwerkelijk is gehackt.

Het NCSC meldde woensdag nog geen actief misbruik van de ontdekte kwetsbaarheden te hebben vastgesteld. De grootschalige uitval is voor een belangrijk deel het gevolg van voorzorgsmaatregelen.

Wanneer alle getroffen websites en digitale diensten weer volledig beschikbaar zijn, is nog niet duidelijk.