Iedereen in paniek over PHP-lek, DigiD, MijnOverheid en RTL uit voorzorg plat
Een ernstig beveiligingslek in de programmeertaal PHP zorgt voor grote onrust op internet. Verschillende Nederlandse overheidswebsites, nieuwsplatforms en andere digitale diensten zijn uit voorzorg offline gehaald. Hackers kunnen de kwetsbaarheid mogelijk misbruiken om computersystemen over te nemen en gegevens te stelen.
Het lek raakt mogelijk een groot aantal websites, omdat PHP wereldwijd veel wordt gebruikt (alleen lekker niet door ons) voor het bouwen en onderhouden van websites en webapplicaties. Onder meer DigiD, MijnOverheid, de website van de Tweede Kamer en RTL Nieuws zijn tijdelijk niet bereikbaar geweest. Ook het Nationaal Cyber Security Centrum (NCSC), dat organisaties juist adviseert over digitale veiligheid, heeft zijn eigen website uit voorzorg offline gehaald.
De oorzaak ligt bij twee kritieke kwetsbaarheden in PHP. Die maken het onder bepaalde omstandigheden mogelijk om op afstand eigen programmacode uit te voeren op een server. Aanvallers kunnen daarmee mogelijk verder binnendringen in een systeem en bijvoorbeeld gegevens buitmaken.
Volgens het NCSC zijn alle PHP-versies vanaf versie 5 in potentie kwetsbaar. Dat betekent dat niet alleen overheidsorganisaties, maar ook bedrijven, nieuwsmedia en andere organisaties risico kunnen lopen.
Het Amerikaanse beveiligingsbedrijf Cloudflare meldt dat het inmiddels pogingen tot misbruik ziet en deze met beveiligingsmaatregelen probeert tegen te houden. Het NCSC heeft vooralsnog geen actief misbruik van de kwetsbaarheden vastgesteld