Hallo en welkom in dit liveblog. Hier houden we je op de hoogte van de laatste ontwikkelingen rond de kwetsbaarheden in PHP. Heb je een vraag of tips? Mail die naar redactie@nu.nl.
Inloggen op MijnOverheid? Dan krijg je dit scherm te zien. Overigens werkt DigiD slechts deels niet: je kunt wel inloggen in de app bij websites die niet uit voorzorg offline gaan.
RIVM ligt er ook uit
De website van het RIVM is ook offline gehaald.
DPG Media heeft sites offline gehaald
DPG Media heeft vanmiddag "uit voorzorg" een aantal sites tijdelijk offline gehaald. Een aantal sites en apps van DPG Media draaien op PHP. "Op dit moment analyseren we de situatie. Uit voorzorg hebben we besloten een aantal sites tijdelijk offline te halen. Vooralsnog zijn er geen incidenten gemeld voor onze sites, maar onze experts houden de ontwikkelingen in de gaten."
RTL Nieuws ligt eruit en mogelijk zal ook het AD tijdelijk offline gaan. NU.nl is ruim vijftien jaar geleden van PHP afgestapt.
Hoofdredacteur Kamran Ullah van De Telegraaf, onderdeel van het concern Mediahuis, laat weten dat "onze technische teams de situatie op dit moment monitoren". De nieuwssite maakt "vrijwel geen gebruik van PHP".
Geen verband met cyberaanval Albert Heijn
Ahold Delhaize denkt niet dat de recente cyberaanval verband houdt met de PHP-kwetsbaarheden. "Voor zover we nu kunnen overzien, is er geen aanleiding om dit aan te nemen", zegt een woordvoerder tegen het ANP.
De woordvoerder wil nog niet zeggen of de supermarkt de website opnieuw offline gaat halen. "Op dit moment is dit alles wat ik erover kan zeggen. Als wij aanleiding zien om hier mededelingen over te doen, doen we dat."
Boekensites ook offline gehaald
Meerdere grote boekensites zijn offline gehaald. Het gaat onder meer om Hebban, CPNB en Bestseller 60.
Website DigiD ligt eruit, inloggen kan nog
De website van overheidsdienst DigiD ligt er ook uit. Inloggen met DigiD is wel mogelijk bij diensten die nog online zijn, meldt een woordvoerder. "Veel overheidssites zijn offline gehaald tot de update er is, daarna is het afwachten wanneer sites weer online komen", zegt ze.
Meerdere media ondervinden last
De site en de app van RTL Nieuws gaan offline, meldt RTL. Het medium blijft het nieuws brengen via sociale media, tv en RTL Z.
Ook de site van Omroep Flevoland ligt er deels uit. De omroep schrijft dat ze tijdelijk geen nieuwe artikelen publiceren vanwege de PHP-kwestie.
Ook persbureau ANP heeft uit voorzorg systemen offline gehaald.
PHP-kwetsbaarheid raakt ook buitenland
NCSC waarschuwt ook Britse organisaties voor de kwetsbaarheden. Ook krijgen het advies om de computersystemen die PHP gebruiken "zo spoedig mogelijk" te updaten.
Website Mijn Overheid offline
Mijn Overheid is offline gehaald. De algemene inlogpagina voor meerdere overheidssites is daardoor tijdelijk niet bereikbaar. Onder meer de Belastingdienst doet het wel.
Cybersecuritywaakhond ziet nog geen actief misbruik
Nationaal Cyber Security Centrum (NCSC) ziet nog geen "actief misbruik" gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om voorbereidingen te treffen op de updates die vanmiddag beschikbaar worden.
NCSC stelt dat het tijdstip mogelijk nog wordt vervroegd. "Voer de updates zodra ze beschikbaar komen direct door. Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar."
De website van NCSC zelf is uit voorzorg ook tijdelijk offline gehaald.
Wat betekent deze kwetsbaarheid in PHP?
Door de kwetsbaarheden kunnnen "criminelen willekeurige websites die gebruikmaken van PHP overnemen", legt cybersecurityexpert Daan Keuper aan NU.nl uit. "Ze hebben dan volledige toegang tot dat systeem en alle data die zich erin bevindt."
Zodra de veiligheidsupdate online staat en kwaadwillenden een script hebben geschreven, kunnen ze volgens Keuper "zo snel mogelijk het internet scannen en de websites overnemen voor welke malafide doeleinden dan ook".
Om 16.00 uur is er een spannend moment, stelt Keuper. "Criminelen zitten op dat tijdstip namelijk ook klaar. Dan is bekend waar de kwetsbaarheden zitten en kunnen criminelen op basis daarvan snel een script schrijven waarmee ze bedrijven die PHP gebruiken, aanvallen. Als bedrijven wél updaten, kunnen ze die aanvallen voor zijn."
Picnic haalt zijn website niet offline
Picnic maakt gebruik van de programmeertaal, maar besluit desondanks om de site niet offline te halen. Volgens een woordvoerder is zo'n ingreep in het geval van Picnic niet nodig. "Onze website is alleen een uithangbord. Je kunt daar niet bestellen." Het bestelsysteem zou dus niet op PHP draaien.
NU.nl heeft geen last van de kwetsbaarheid
NU.nl maakt geen gebruik van PHP en heeft daarom geen last van de kwestie.
Om 16.00 uur belangrijke veiligheidsupdate
PHP kondigde vanochtend aan dat er twee "kritieke kwetsbaarheden" zijn gevonden in het systeem. Die maken het mogelijk om de server van een afstand aan het sturen.
PHP meldt dat er woensdagmiddag om 16.00 uur een belangrijke een veiligheidsupdate aan de programmeertaal wordt gepubliceerd.
Meerdere sites niet bereikbaar
Ook voetbalclubs hebben last van de PHP-kwestie. Onder meer de sites van Fortuna Sittard, FC Groningen, FC Twente en Willem II zijn niet bereikbaar.
Verder zijn ook de site van politievakbond ACP, apothekerskoepel KNMP en openbaarvervoerbedrijf EBS tijdelijk offline gehaald.
Website van de Tweede Kamer ook offline
Ook de website van de Tweede Kamer is uit voorzorg offline gehaald. "Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen", zegt een woordvoerder tegen het ANP. "Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server."
Ook scholen en universiteiten de dupe
Delen van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo's en onderzoeksinstellingen zijn uit voorzorg uitgeschakeld. Vanwege veiligheidsoverwegingen heeft SURF de keuze gemaakt om bepaalde SURF-diensten, die gebruik maken van PHP, preventief uit te zetten.
Het is niet bekend welke delen van het zogenoemde SURF-netwerk zijn uitgeschakeld. Ook de gevolgen voor bijvoorbeeld colleges en tentamens zijn nog niet duidelijk.
Informatievoorziening lokale overheden offline
In Nederland is het programma NotuBiz offline gehaald. Dat is de websitedienst waarmee gemeenten, provincies en waterschappen berichten publiceren. Ze delen daar officiële informatie met raadsleden en Statenleden. Die zijn normaal gesproken ook zichtbaar voor het publiek.
Het gaat onder meer om Den Haag, Almere, Breda, Haarlem, Den Bosch, Delft, Katwijk, Montferland en Altena. De informatievoorziening van meerdere provincies waaronder Overijssel, Gelderland en Friesland zijn ook offline gehaald.
Programmeertaal PHP blijkt kwetsbaar
Websites over de hele wereld die de programmeertaal PHP gebruiken, hebben het dringende advies gekregen om uit voorzorg offline te gaan vanwege kwetsbaarheden.Wereldwijd draait ongeveer 70 procent van de websites op PHP. Lees hier meer.