De PHP-problemen waardoor woensdag veel sites uit voorzorg offline zijn gehaald, zijn geen aanval. "Het is een weeffout in de programmeertaal", zegt Corine Schipper-Derkse van het Nationaal Cyber Security Centrum (NCSC).
"Er zijn twee kwetsbaarheden geconstateerd in PHP", zegt Schipper-Derkse. "PHP is een programmeertaal waarmee websites en applicaties worden gebouwd. De kwetsbaarheden die vandaag zijn geconstateerd, zijn gemakkelijk te misbruiken."
Schipper-Derkse slaat nog geen groot alarm. Volgens haar is het een weeffout in software, die gerepareerd kan worden. Die reparatie stond gepland voor 16.00 uur, maar stond een kwartier eerder al klaar. "Het is dus geen aanval, maar een kwetsbaarheid die hier in de software zit." Wel roept NCSC alle gebruikers op de reparatie direct door te voeren. "Zit klaar, voer het door, zodat het gat is gedicht."
Veel websites in Nederland maken gebruik van PHP. Woensdag gingen veel websites uit voorzorg offline, waaronder overheidssites van het RIVM en de Tweede Kamer, entertainmentsites als Pathé Thuis en meerdere media. Ook de ANWB, telecomproviders en sites en apps van ziekenhuizen gingen op zwart.
Vooralsnog is niet bekend dat het ergens is misgegaan. De risico's zijn afhankelijk van de dienstverlening van de website die PHP gebruikt. "Gaat het bijvoorbeeld om een webshop waarop betalingsverkeer plaatsvindt, dan zijn de risico's groter dan een website waar alleen informatie te vinden is", zegt Schipper-Derkse.
Iedere organisatie maakt volgens Schipper-Derkse een eigen risicoafweging. "Daar zijn ze zelf verantwoordelijk voor." PHP kan commando's geven aan de achterkant van een website. Bij sites waar betalingen plaatsvinden, kunnen kwaadwillenden meer schade aanrichten. Dan kunnen orders worden uitgevoerd aan de achterkant.
Sinds afgelopen nacht heeft het NCSC doelgroepen geïnformeerd over de kwetsbaarheden en voorzorgsmaatregelen afgegeven. "Totdat de site offline is gehaald, kunnen kwaadwillenden er misbruik van maken."
In het buitenland, waar ook veelvuldig gebruik wordt gemaakt van PHP, gaan sites minder snel offline. "Die lijken een andere risicoanalyse te maken dan wij", zegt Schipper-Derkse. "Onze cybersecuritywaakhondcollega's in Europa doen hetzelfde qua communicatie", legt ze uit. NCSC staat in nauw contact met EU-collega's.
Als de reparatie is doorgevoerd, kunnen veel sites weer online. Dat kan voor de ene site sneller zijn dan de andere. "Maar dat ligt aan de updates die nodig zijn bij de desbetreffende organisaties."
Source: Nu.nl algemeen