Wie vandaag een rondje surft op het wereldwijde web, stuit opvallend vaak op foutmeldingen, ‘access denied’-schermen of meldingen over ongepland onderhoud. Talloze websites wereldwijd zijn woensdagmiddag offline gehaald, waaronder bekende Nederlandse titels als RTL Nieuws, 9292ov, MijnOverheid en DigiD.
De oorzaak ligt niet bij een haperende glasvezelkabel of een storing bij een cloudprovider, maar bij een ernstig beveiligingslek in PHP. Dat is een van de belangrijkste programmeertalen achter het moderne internet.
Dat de gevolgen meteen zo breed merkbaar zijn, komt door de gigantische populariteit van de programmeertaal. Naar schatting draait maar liefst 70 tot 80 procent van alle websites op PHP. Het vormt het fundament onder vertrouwde contentmanagementsystemen zoals WordPress, Joomla en Drupal, maar ook onder talloze webwinkels, klantportalen en overheidssystemen. Platforms die niet volledig op PHP draaien, gebruiken het vaak achter de schermen nog wel voor onder andere formulieren, interne zoekfuncties of koppelingen tussen databases.
In de afgelopen uren zijn er online details uitgelekt over de specifieke kwetsbaarheden. Hierdoor kunnen kwaadwillenden en geautomatiseerde scan-bots proberen om van buitenaf code uit te voeren op kwetsbare webservers en zodoende de controle over te nemen. Omdat er afgelopen vannacht al een werkende methode openbaar werd gedeeld, ontstond er direct een gevaarlijke situatie. Aanvallers wisten waar het gat zat, terwijl beheerders nog geen officiële pleister hadden om het te plakken.
Overheid, media en bedrijven kiezen voor de noodrem
In Nederland en België leidde de dreiging vanaf woensdagochtend al tot een ongekende kettingreactie. Belangrijke overheidsdiensten in Nederland zoals MijnOverheid, DigiD en de website van de Tweede Kamer werden uit voorzorg tijdelijk onbereikbaar gemaakt. Zelfs de site van het Nationaal Cyber Security Centrum (NCSC) ging preventief uit de lucht. Daarnaast kregen provincies te maken met storingen bij informatiesystemen en livestreams en schakelde onderwijsnetwerk SURF delen van zijn infrastructuur uit.
In de loop van de middag breidde de lijst met uitgeschakelde sites zich snel uit naar de mediasector en het bedrijfsleven. In Nederland toonden grote platforms zoals RTL Nieuws en technologiewebsite Tweakers tijdelijk onderhoudsmeldingen, net als diverse webshops en sportclubs.
Ook over de grens in België sloeg de bezorgdheid toe. Waar Europese instellingen in Brussel vanuit cybersecuritydienst CERT-EU het dringende advies kregen publieke toepassingen af te sluiten, hielden grote Vlaamse nieuwstitels zoals Het Laatste Nieuws, De Morgen en VRT NWS hun digitale systemen en live-omgevingen angstvallig scherp in de gaten, terwijl lokale overheden en webbeheerders voorzorgsmaatregelen troffen.
Beveiligingsexperts benadrukken dat het hier nadrukkelijk niet gaat om succesvolle aanvallen of grootschalige datadiefstal bij al deze partijen. Het tijdelijk uitschakelen of dichtzetten van de servers is simpelweg de enige volledig waterdichte manier om misbruik te voorkomen zolang de lekken nog openstaan.
In ander nieuws: Wereldwijde Google Cloud-storing leidt tot wereldwijde uitval
Wereldwijde impact en verschillende afwegingen
Het probleem beperkt zich allerminst tot de Benelux. Beveiligingswaakhonden in onder meer het Verenigd Koninkrijk en de Verenigde Staten hebben waarschuwingen afgegeven. Internationale universiteiten en e-commerceplatformen nemen soortgelijke maatregelen. Beveiligingsbedrijven zoals Cloudflare en Akamai zien wereldwijd al enorme hoeveelheden geautomatiseerd verkeer voorbijkomen dat gericht zoekt naar kwetsbare systemen.
Niet ieder bedrijf kiest er overigens voor om meteen de stekker eruit te trekken. Reuzen als Wikipedia en Meta maken gebruik van zwaar aangepaste versies van de software en aparte beveiligingslagen, waardoor zij minder vatbaar zijn. Ook bedrijven waarbij PHP puur dient als eenvoudig digitaal uithangbord durven het aan om hun site online te houden onder strenge bewaking.
Oplossing verwacht om 16.00 uur, maar herstel kost tijd
De organisatie achter PHP heeft eerder aangekondigd dat de officiële beveiligingsupdates woensdag om 16.00 uur Nederlandse tijd vrijgegeven zouden worden, wat dan ook gedaan is. Dat betekent overigens niet dat om 16.01 uur alle websites direct weer functioneren. Voor de duizenden getroffen beheerders en hostingbedrijven begint het werk dan pas.
De updates moeten eerst zorgvuldig worden gedownload, op testservers worden gecontroleerd om te voorkomen dat bestaande functies omvallen en vervolgens server voor server worden uitgerold. Beveiligingsexperts adviseren beheerders daarnaast om direct recente back-ups veilig te stellen en serverlogs grondig te controleren. Omdat informatie over het lek al uren online rondgaat, bestaat het risico dat aanvallers voor het patchen al hebben geprobeerd binnen te dringen. Een gegarandeerd schone herstelomgeving is daarom minstens zo belangrijk als de software-update zelf.
Zeker bij complexe websites met veel maatwerk en grote databases kan dit hele proces van patchen, verifiëren en herstarten de nodige uren in beslag nemen. De verwachting is dan ook dat veel diensten pas later vanavond of morgen in de loop van de dag weer veilig online verschijnen.