Zoveel sites in één klap plat: hoe kan dat? En zijn je gegevens veilig?

Allerlei websites gaan uit voorzorg uit de lucht, van RTL Nieuws, DigiD en MijnOverheid tot de website van de Tweede Kamer. Wat is er precies aan de hand en waar komt dit grote beveiligingslek opeens vandaan?

Gisteren kwam(opent in nieuw venster) de organisatie achter PHP, een programmeertaal waar veel websites uit zijn opgebouwd, met een aankondiging, zoals makers van software dat wel vaker doen: woensdag zou er een oplossing komen voor een probleem met PHP. Dat doen softwaremakers zodat iedereen zich kan voorbereiden op een oplossing.

In dit geval hebben hackers die aankondiging echter aangegrepen om het precieze lek te lokaliseren en informatie erover naar buiten te brengen. Met die informatie is het relatief eenvoudig om het lek te misbruiken.

PHP is een programmeertaal. Het is een van de oertalen van het wereldwijde web; de eerste versie kwam al in 1995 uit. Hoewel de populariteit is afgenomen doordat er nieuwe programmeertalen met een hipper imago verschenen, is het nog steeds een van de stille drijvende krachten achter het web.

Het softwarelek van vandaag zit in de zogenoemde interpreter, een stukje software dat de door programmeurs geschreven commando's vertaalt naar iets wat de computer begrijpt.

Het gaat om twee weeffouten in PHP. Doordat veel websites PHP gebruiken, zijn dus ook meteen veel websites kwetsbaar. Hoe ernstig een site is getroffen, verschilt van geval tot geval.

Op zichzelf zijn het al twee relatief ernstige lekken. Alle softwarelekken krijgen een score op een schaal van 1 tot 10, een zogenoemde CVE-score. Deze twee lekken krijgen allebei een 9,2.

Wie deze weeffouten kan misbruiken, kan zichzelf naar binnen wurmen op een website en bijvoorbeeld klantdata stelen, verder inbreken in het bedrijf achter de website of nieuwe aanvallen op bezoekers openen.

Wat het ernstiger maakt, is dat er pas vandaag om 16.00 uur een oplossing wordt verwacht, terwijl het lek al lijkt te worden misbruikt. Een permanente oplossing is er simpelweg niet totdat de makers van PHP een nieuwe versie uitbrengen.

Wat dit lek ernstig maakt, is dat er geen echte oplossing is. Website-eigenaren kunnen hun best doen om verdacht verkeer te blokkeren, maar dat werkt niet volledig: er kunnen altijd hackpogingen doorheen komen en slagen. Omdat er geen waterdichte oplossing is, kiezen veel website-eigenaren eieren voor hun geld.

Toch is offline halen niet de enige oplossing. Een andere is om alle interactieve functies uit te schakelen, zodat een bezoeker bijvoorbeeld niet meer kan inloggen, reacties kan achterlaten of bestanden kan uploaden. Voor een site als DigiD heeft dat weinig nut, maar een site met alleen informatie zou zo bijvoorbeeld online kunnen blijven. Of dat in de praktijk op korte termijn kan, is een ander verhaal.

Er zijn nog geen indicaties dat er daadwerkelijk misbruik is gemaakt van het lek, maar de kans is groot dat dat wel is gebeurd. Er zijn dus geen aanwijzingen dat websites al getroffen zijn, laat staan dat ze vervolgens privégegevens van hun gebruikers lekken, maar het is zeker niet uitgesloten.

En de kans dat het gaat gebeuren is nog groter, want veel website-eigenaren updaten hun software veel te laat. Vooral sites van kleinere bedrijven en hobbysites draaien soms jaren oude versies. De komende tijd zijn die dus extra kwetsbaar.

Hoe groot het internet ook is, uiteindelijk is een relatief kleine verzameling programmeertalen en software de drijvende kracht erachter. Een ernstig softwarelek kan er daarom voor zorgen dat veel websites of andere computersystemen in één keer getroffen zijn, en dat gebeurt vandaag niet voor het eerst.

Ook maakt AI het steeds makkelijker om lekken in software te vinden, en kan dat steeds sneller. Het is niet bekend of het lek van vandaag met behulp van AI is gevonden.

Als de update van PHP om 16.00 uur online staat, is het in principe een kwestie van updaten. Als alles goed gaat, zouden websites relatief kort daarna weer moeten werken. Al kunnen er altijd toch problemen optreden.

Zo zou het kunnen dat veel meer mensen dan normaal opeens een PHP-update willen downloaden, waardoor de servers overbelast raken. Ook kunnen software-updates altijd misgaan. De kans dat de bewuste websites later vanavond of zelfs morgen nog offline zijn, lijkt echter klein.