Plotseling waren uiteenlopende websites niet meer bereikbaar, variërend van nieuwsplatforms tot overheidsportalen. Bezoekers van bijvoorbeeld DigiD, MijnOverheid en zelfs de website van de Tweede Kamer troffen enkel foutmeldingen aan. Wat was er aan de hand waardoor zoveel belangrijke online diensten tegelijkertijd uit voorzorg offline werden gehaald?
Het begon met een aankondiging uit onverwachte hoek. De organisatie die verantwoordelijk is voor PHP, een van de fundamenten onder talloze websites wereldwijd, meldde dat er een probleem was ontdekt. Zoals gebruikelijk bij softwarefouten, werd aangekondigd dat er een dag later een oplossing zou volgen.
Deze transparantie is bedoeld om beheerders de tijd te geven zich voor te bereiden. Toch liep het dit keer anders dan verwacht.
Al snel grepen kwaadwillenden deze aankondiging aan om het beveiligingslek te traceren. Vervolgens werd informatie over de kwetsbaarheid openbaar gemaakt. Daardoor werd het voor hackers relatief eenvoudig om misbruik te maken van het lek nog voordat er een officiële oplossing beschikbaar was.
Wat normaal een routineprocedure is bij softwareonderhoud, werd hierdoor een race tegen de klok.
Een oude kracht van het web in het middelpunt
PHP, de betrokken programmeertaal, bestaat al sinds 1995 en vormt de ruggengraat van een groot deel van het web. Hoewel PHP de afgelopen jaren concurrentie kreeg van nieuwere en populairdere talen, draait nog steeds een aanzienlijk percentage van alle websites op deze taal. Dit verklaart waarom een probleem in PHP meteen verstrekkende gevolgen heeft.
Het specifieke probleem zat in de zogenoemde interpreter, een essentieel onderdeel van PHP dat ervoor zorgt dat de instructies van programmeurs worden vertaald naar acties die een computer kan uitvoeren. In dit geval ging het om twee fundamentele fouten in deze interpreter, waardoor veel websites ineens kwetsbaar werden voor aanvallen.
LEES OOK:Het kabinet wil uw beleggingswinst anders belasten, en niet iedereen gaat erop vooruit
Twee ernstige lekken, hoge risico’s
Beide ontdekte kwetsbaarheden worden op de internationale CVE-schaal, waarin de ernst van softwarelekken wordt uitgedrukt, beoordeeld met een score van 9,2 op een maximum van 10. Dit plaatst ze in de categorie van zeer ernstige beveiligingsproblemen.
Wie in staat is deze zwakke plekken uit te buiten, kan ongeautoriseerd toegang krijgen tot websites, klantgegevens buitmaken, dieper doordringen in de systemen van het getroffen bedrijf of zelfs nieuwe aanvallen op bezoekers starten.
Wat de situatie nog riskanter maakte, was dat er pas aan het einde van de middag een definitieve oplossing beschikbaar kwam, terwijl het lek al urenlang actief werd misbruikt. Totdat de ontwikkelaars van PHP met een bijgewerkte versie kwamen, konden websitebeheerders niets anders doen dan proberen schadelijk verkeer te blokkeren.
Maar zelfs die voorzorgsmaatregel bood geen garantie dat hackers buiten de deur bleven. Zo ontstond de keuze om websites volledig offline te halen tot er een echte oplossing was.
Voorzorgsmaatregel of noodoplossing?
Het uit de lucht halen van websites is een forse stap, maar gezien de omstandigheden was het een begrijpelijke maatregel. Toch bestaat er ook een alternatief: het uitschakelen van alle interactieve functionaliteiten, zoals inloggen, reageren of bestanden uploaden.
Voor informatieportalen kan die aanpak volstaan, maar voor diensten als DigiD is het geen werkbare optie. In veel gevallen was het dus veiliger om de hele website tijdelijk ontoegankelijk te maken.
Hoewel er op dit moment nog geen concrete gevallen van misbruik naar buiten zijn gebracht, is de kans groot dat die alsnog zullen volgen. Tot nu toe zijn er geen aanwijzingen dat gevoelige gebruikersgegevens daadwerkelijk zijn buitgemaakt, maar uitsluiten valt het niet.
Zeker niet omdat veel websites niet altijd direct hun software updaten, waardoor vooral kleinere bedrijven en hobbywebsites extra kwetsbaar blijven in de komende periode.
Kwetsbaarheid van het internet
De gebeurtenissen van vandaag laten zien hoe afhankelijk het internet is van een beperkt aantal programmeertalen en softwarecomponenten. Een ernstig lek, zoals nu in PHP, kan direct een groot aantal websites en systemen tegelijk treffen.
Zulke situaties zijn niet nieuw, maar ze illustreren wel de kwetsbaarheid van het digitale landschap.
Technologische ontwikkelingen zoals kunstmatige intelligentie maken het steeds eenvoudiger en sneller om zwakke plekken in software op te sporen. Ook de ethische hackers die de kwetsbaarheden in eerste instantie vonden en bij de PHP-ontwikkelaars meldden, maakten gebruik van AI.
LEES OOK:Pas op voor 1 januari, anders moet u straks honderden euro’s zorgtoeslag terugbetalen
Of de kwaadwillende hackers die de informatie vervolgens verspreidden eveneens AI gebruikten, is niet bekend.
Oplossingen en vooruitzichten
De patch, oftewel de software-update van PHP, is inmiddels beschikbaar gesteld. In principe hoeven websitebeheerders alleen deze update door te voeren om hun systemen weer veilig te maken. Daarna zouden de getroffen websites spoedig weer online kunnen zijn.
Toch kunnen er zich daarbij problemen voordoen. Zo kan het gebeuren dat door de plotselinge vraag naar updates de servers overbelast raken, of dat er bij het updaten iets misgaat.
Ondanks deze mogelijke complicaties is de verwachting dat de meeste websites snel weer bereikbaar zullen zijn. De kans dat de getroffen sites dagenlang offline blijven, wordt als klein ingeschat. Wel blijft het cruciaal dat beheerders hun systemen zo snel mogelijk van de nieuwste beveiligingsupdates voorzien, om te voorkomen dat kwaadwillenden alsnog toeslaan.
