Live | Van RIVM tot ANWB: steeds meer websites offline vanwege kwetsbaar PHP

Hallo en welkom in dit liveblog. Hier houden we je op de hoogte van de laatste ontwikkelingen rond de kwetsbaarheden in PHP. Heb je een vraag of tips? Mail die naar redactie@nu.nl.

• Programeertaal PHP vertoont kwetsbaarheden
• 70 procent van de wereldwijde websites draait op PHP
• Meerdere websites in Nederland uit voorzorg offline
• NU.nl gebruikt geen PHP

Liveblog

7 minuten geleden

7 minuten geleden

PHP ziet vooralsnog geen problemen
Het team achter PHP zegt tegen het ANP geen indicatie te hebben dat de kwetsbaarheden in de programmeertaal "actief worden uitgebuit door kwaadwillenden".

11 minuten geleden

De website van supermarktketen Hoogvliet ligt eruit.

15 minuten geleden

Tweakers tijdelijk niet bereikbaar
De website van Tweakers is tijdelijk offline gehaald. "We hebben onze systemen uit voorzorg offline gehaald vanwege kritieke PHP2Shell-kwetsbaarheden. We zijn wel via socialmediakanalen bereikbaar", meldt de techwebsite.

16 minuten geleden

Websites politieke partijen offline
Websites van meerdere politieke partijen zijn offline. Het gaat onder meer om websites van VVD, CDA, PRO, BBB en PvdD. Het is een "preventieve maatregel".

De site van Volt ligt er even uit vanwege "onderhoud". Ook de sites van D66, SGP, ChristenUnie, DENK en JA21 zijn offline. Daar staat geen reden bij vermeld, maar de PHP-kwestie is vermoedelijk de boosdoener.

De sites van PVV, FVD, Groep Markuszower (DNA), SP en 50PLUS zijn nog in de lucht.

19 minuten geleden

Schiphol-app tijdelijk niet beschikbaar 
De Schiphol-app is tijdelijk niet bereikbaar door de PHP-kwestie. In de app staat onder meer vluchtinformatie en een plattegrond van Schiphol. Ook kun je via de app tijdslots boeken. De site van Schiphol is wel bereikbaar.

"We zijn op de hoogte van de berichtgeving en volgen ontwikkelingen rond digitale dreigingen vanzelfsprekend nauwgezet. Naar aanleiding hiervan nemen we uit voorzorg maatregelen", zegt een woordvoerder. "We houden de ontwikkelingen goed in de gaten. Vanuit veiligheidsoverwegingen doen we geen uitspraken over de inrichting van onze systemen of specifieke beveiligingsmaatregelen."

29 minuten geleden

Sites voetbalsector offline
Ook de websites van voetbalbond KNVB zijn uit voorzorg offline gehaald. Sites als Voetbal.nl en OnsOranje.nl zijn niet bereikbaar. "We doen ons best om ervoor te zorgen dat je de website zo snel mogelijk weer kunt bezoeken", laat de KNVB weten.

31 minuten geleden

ANWB ligt eruit
De site van de ANWB ligt er uit voorzorg uit. Dat heeft te maken met de PHP-kwestbaarheid, bevestigt een woordvoerder aan NU.nl. Mensen kunnnen wel pech melden en de Wegenwacht bellen, zegt hij. De app doet het nog wel.

De website van Rijkswaterstaat, waarop ook verkeersinformatie wordt gedeeld, is vooralsnog wel bereikbaar.

46 minuten geleden

RTL Nieuws heeft de site tijdelijk offline gehaald.

48 minuten geleden

Inloggen op MijnOverheid? Dan krijg je dit scherm te zien. Overigens werkt DigiD slechts deels niet: je kunt wel inloggen in de app bij websites die niet uit voorzorg offline gaan.

50 minuten geleden

RIVM ligt er ook uit
De website van het RIVM is ook offline gehaald.

59 minuten geleden

DPG Media heeft sites offline gehaald
DPG Media heeft vanmiddag "uit voorzorg" een aantal sites tijdelijk offline gehaald. Een aantal sites en apps van DPG Media draait op PHP. "Op dit moment analyseren we de situatie. Uit voorzorg hebben we besloten een aantal sites tijdelijk offline te halen. Vooralsnog zijn er geen incidenten gemeld voor onze sites, maar onze experts houden de ontwikkelingen in de gaten."

RTL Nieuws ligt eruit en mogelijk zal ook het AD tijdelijk offline gaan. De website Mediacourant is ook uit de lucht.

Hoofdredacteur Kamran Ullah van De Telegraaf, dat onderdeel is van het concern Mediahuis, laat weten dat "technische teams de situatie op dit moment monitoren". De nieuwssite maakt "vrijwel geen gebruik van PHP".

NU.nl is ruim vijftien jaar geleden van PHP afgestapt.

1 uur geleden

Geen verband met cyberaanval Albert Heijn
Ahold Delhaize denkt niet dat de recente cyberaanval verband houdt met de PHP-kwetsbaarheden. "Voor zover we nu kunnen overzien, is er geen aanleiding om dit aan te nemen", zegt een woordvoerder tegen persbureau ANP.

De woordvoerder wil nog niet zeggen of de supermarkt de website opnieuw offline gaat halen. "Op dit moment is dit alles wat ik erover kan zeggen. Als wij aanleiding zien om hier mededelingen over te doen, doen we dat."

1 uur geleden

Boekensites ook offline gehaald
Meerdere grote boekensites zijn offline gehaald. Het gaat onder meer om Hebban, CPNB en Bestseller 60.

1 uur geleden

Website DigiD ligt eruit, inloggen kan nog
De website van overheidsdienst DigiD ligt er ook uit. Inloggen met DigiD is wel mogelijk bij diensten die nog online zijn, meldt een woordvoerder. "Veel overheidssites zijn offline gehaald tot de update er is, daarna is het afwachten wanneer sites weer online komen", zegt ze.

1 uur geleden

Meerdere media ondervinden last
De site en de app van RTL Nieuws gaan offline, meldt RTL. Het medium blijft het nieuws brengen via sociale media, tv en RTL Z.

Ook de site van Omroep Flevoland ligt er deels uit. De omroep schrijft dat ze tijdelijk geen nieuwe artikelen publiceren vanwege de PHP-kwestie.

Ook persbureau ANP heeft uit voorzorg systemen offline gehaald.

1 uur geleden

PHP-kwetsbaarheid raakt ook buitenland
NCSC waarschuwt ook Britse organisaties voor de kwetsbaarheden. Ook krijgen het advies om de computersystemen die PHP gebruiken "zo spoedig mogelijk" te updaten.

1 uur geleden

Website Mijn Overheid offline
Mijn Overheid is offline gehaald. De algemene inlogpagina voor meerdere overheidssites is daardoor tijdelijk niet bereikbaar. Onder meer de Belastingdienst doet het wel.

1 uur geleden

Cybersecuritywaakhond ziet nog geen actief misbruik
Nationaal Cyber Security Centrum (NCSC) ziet nog geen "actief misbruik" gesignaleerd. Het centrum adviseert organisaties wel nadrukkelijk om voorbereidingen te treffen op de updates die vanmiddag beschikbaar worden.

NCSC stelt dat het tijdstip mogelijk nog wordt vervroegd. "Voer de updates zodra ze beschikbaar komen direct door. Zolang dat niet gebeurt, is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar."

De website van NCSC zelf is uit voorzorg ook tijdelijk offline gehaald.

1 uur geleden

Wat betekent deze kwetsbaarheid in PHP?
Door de kwetsbaarheden kunnnen "criminelen willekeurige websites die gebruikmaken van PHP overnemen", legt cybersecurityexpert Daan Keuper aan NU.nl uit. "Ze hebben dan volledige toegang tot dat systeem en alle data die zich erin bevindt."

Zodra de veiligheidsupdate online staat en kwaadwillenden een script hebben geschreven, kunnen ze volgens Keuper "zo snel mogelijk het internet scannen en de websites overnemen voor welke malafide doeleinden dan ook".

Om 16.00 uur is er een spannend moment, stelt Keuper. "Criminelen zitten op dat tijdstip namelijk ook klaar. Dan is bekend waar de kwetsbaarheden zitten en kunnen criminelen op basis daarvan snel een script schrijven waarmee ze bedrijven die PHP gebruiken, aanvallen. Als bedrijven wél updaten, kunnen ze die aanvallen voor zijn."

1 uur geleden

Picnic haalt zijn website niet offline
Picnic maakt gebruik van de programmeertaal, maar besluit desondanks om de site niet offline te halen. Volgens een woordvoerder is zo'n ingreep in het geval van Picnic niet nodig. "Onze website is alleen een uithangbord. Je kunt daar niet bestellen." Het bestelsysteem zou dus niet op PHP draaien.

1 uur geleden

NU.nl heeft geen last van de kwetsbaarheid
NU.nl maakt geen gebruik van PHP en heeft daarom geen last van de kwestie.

1 uur geleden

Om 16.00 uur belangrijke veiligheidsupdate
PHP kondigde vanochtend aan dat er twee "kritieke kwetsbaarheden" zijn gevonden in het systeem. Die maken het mogelijk om de server van een afstand aan het sturen.

PHP meldt dat er woensdagmiddag om 16.00 uur een belangrijke een veiligheidsupdate aan de programmeertaal wordt gepubliceerd.

1 uur geleden

Meerdere sites niet bereikbaar
Ook voetbalclubs hebben last van de PHP-kwestie. Onder meer de sites van Fortuna Sittard, FC Groningen, FC Twente en Willem II zijn niet bereikbaar.

Verder zijn ook de site van politievakbond ACP, apothekerskoepel KNMP en openbaarvervoerbedrijf EBS tijdelijk offline gehaald.

1 uur geleden

Website van de Tweede Kamer ook offline
Ook de website van de Tweede Kamer is uit voorzorg offline gehaald. "Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen", zegt een woordvoerder tegen het ANP. "Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server."

1 uur geleden

Ook scholen en universiteiten de dupe
Delen van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo's en onderzoeksinstellingen zijn uit voorzorg uitgeschakeld. Vanwege veiligheidsoverwegingen heeft SURF de keuze gemaakt om bepaalde SURF-diensten, die gebruik maken van PHP, preventief uit te zetten.

Het is niet bekend welke delen van het zogenoemde SURF-netwerk zijn uitgeschakeld. Ook de gevolgen voor bijvoorbeeld colleges en tentamens zijn nog niet duidelijk.

1 uur geleden

Informatievoorziening lokale overheden offline
In Nederland is het programma NotuBiz offline gehaald. Dat is de websitedienst waarmee gemeenten, provincies en waterschappen berichten publiceren. Ze delen daar officiële informatie met raadsleden en Statenleden. Die zijn normaal gesproken ook zichtbaar voor het publiek.

Het gaat onder meer om Den Haag, Almere, Breda, Haarlem, Den Bosch, Delft, Katwijk, Montferland en Altena. De informatievoorziening van meerdere provincies waaronder Overijssel, Gelderland en Friesland zijn ook offline gehaald.

1 uur geleden

Programmeertaal PHP blijkt kwetsbaar
Websites over de hele wereld die de programmeertaal PHP gebruiken, hebben het dringende advies gekregen om uit voorzorg offline te gaan vanwege kwetsbaarheden.Wereldwijd draait ongeveer 70 procent van de websites op PHP. Lees hier meer.