Gelderse gemeentewebsites weer online, maar gevaar is niet geweken

In dit artikel:

Gemeentelijke websites in Nederland werden woensdag rond 14.30 uur uit voorzorg offline gehaald nadat in PHP, de programmeertaal waarop veel websites draaien, twee kritieke kwetsbaarheden waren ontdekt. Via NotuBiz leveren ongeveer twintig Gelderse gemeenten en meer dan honderd andere overheden diensten voor onder meer raadsstukken, vergaderingen en officiële bekendmakingen.

NotuBiz sloot de betrokken pagina’s en systemen tijdelijk af om te voorkomen dat aanvallers zouden inbreken. De websites van onder meer Lochem, Nijmegen, Ede en Arnhem kwamen woensdagavond alweer online nadat beveiligingsupdates waren geïnstalleerd en getest. NotuBiz verwachtte dat de overige diensten donderdagochtend zouden volgen. Ook websites van onder meer MijnOverheid, Rijkswaterstaat, ziekenhuizen, politieke partijen, Odido, Pathé Thuis en NPO Start waren tijdelijk niet bereikbaar. In België en Finland werden eveneens websites uit voorzorg afgesloten.

De PHP Foundation erkende dat het beschikbaar komen van een oplossing te lang heeft geduurd. Volgens de stichting was sprake van tekortkomingen in het besluitvormingsproces en een gebrek aan middelen. Het zou al in 2024 bekend zijn geweest dat een van de kwetsbaarheden mogelijk misbruikt kon worden.

Cybersecurityexperts waarschuwen dat de risico’s niet direct verdwijnen na het installeren van een patch. Niet alle organisaties werken hun systemen snel bij en oudere PHP-versies krijgen soms geen beveiligingsupdates meer. Bovendien kunnen aanvallers vóór de reparatie al toegang hebben verkregen en een achterdeur hebben geplaatst, waardoor ook eerder getroffen systemen nog maanden kwetsbaar kunnen blijven.