Enorm PHP-lek zet websites op zwart: ook Zwolle.nl, DigiD en MijnOverheid offline

Zwolle – Een ernstig beveiligingslek zorgt woensdag voor een ongekende golf aan uitgeschakelde websites in Nederland. DigiD, MijnOverheid, RTL Nieuws, het RIVM, de ANWB en tal van andere grote organisaties zijn getroffen. Ook in Zwolle en omgeving zijn de gevolgen zichtbaar. De website van de gemeente Zwolle is offline gehaald, provinciale Stateninformatie is onbereikbaar en inwoners van meerdere gemeenten kunnen geen raadsstukken bekijken. Zelfs bij ziekenhuis Isala ontbreekt tijdelijk digitale patiëntinformatie.

De oorzaak ligt bij twee ernstige kwetsbaarheden in PHP, een veelgebruikte programmeertaal waarop wereldwijd miljoenen websites draaien. Door het beveiligingslek kunnen hackers onder bepaalde omstandigheden op afstand toegang krijgen tot computersystemen. Organisaties proberen een mogelijke cyberaanval voor te zijn door hun websites tijdelijk uit te schakelen.

De problemen beperken zich allang niet meer tot overheidswebsites. Ook nieuwsmedia, politieke partijen, zorgorganisaties, telecombedrijven, voetbalclubs en openbaarvervoerbedrijven ondervinden hinder.

DigiD, MijnOverheid, RTL Nieuws en RIVM offline

De lijst met websites die woensdag uit voorzorg worden uitgeschakeld, wordt steeds langer. Zo zijn DigiD en MijnOverheid tijdelijk niet bereikbaar. Dat zijn belangrijke digitale diensten waarmee Nederlanders onder meer hun overheidszaken regelen.

Ook de website van de Tweede Kamer, het Nationaal Cyber Security Centrum (NCSC) en de Autoriteit Persoonsgegevens  zijn getroffen. Bij RTL Nieuws gingen woensdag kort na 13.00 uur zowel de website als de app uit de lucht. RTL spreekt van een dringende beveiligingsupdate.

Daarnaast zijn onder meer de websites van het Rijksinstituut voor Volksgezondheid en Milieu (RIVM) en de ANWB offline.. Ook gezondheidswebsite Thuisarts.nl is volgens de laatste meldingen tijdelijk niet bereikbaar.

Bij telecomaanbieders Simpel, Ben en Youfone zijn eveneens websites tijdelijk onbereikbaar gemeld. Niet bij iedere organisatie is afzonderlijk bevestigd dat de uitval rechtstreeks door het PHP-probleem wordt veroorzaakt.

Ook websites van politieke partijen uit de lucht

De problemen treffen ook de landelijke politiek. Websites van onder meer VVD, CDA, Progressief Nederland (PRO), BBB en Partij voor de Dieren zijn tijdelijk offline gemeld. Bij deze partijen wordt gesproken over preventieve maatregelen.

Ook de websites van D66, SGP, ChristenUnie, DENK en JA21 zijn volgens recente meldingen niet bereikbaar. Niet alle partijen vermelden waarom hun website is uitgeschakeld.

Bij Volt verschijnt een onderhoudsmelding. Of de uitval van alle genoemde partijwebsites rechtstreeks verband houdt met het PHP-lek, is daarom nog niet in alle gevallen bevestigd.

Websites van onder meer PVV, Forum voor Democratie, SP en 50PLUS waren bij de eerdere controle nog wel bereikbaar. Omdat de situatie snel verandert, kan de bereikbaarheid inmiddels anders zijn.

Website gemeente Zwolle uitgeschakeld

Ook Zwolle merkt de gevolgen van het ernstige beveiligingslek. De officiële website van de gemeente, zwolle.nl, is woensdag uit voorzorg offline gehaald.

Bezoekers kregen eerder de volgende melding te zien:

We zijn tijdelijk niet bereikbaar. Uit voorzorg vanwege een wereldwijd beveiligingslek hebben we onze website tijdelijk offline gehaald.

Bij een latere controle van RTV Focus Zwolle verscheen in de browser de foutmelding dat de website niet bereikbaar was omdat de server te lang nodig had om te reageren. ‘404’

Voor inwoners is daarmee de gebruikelijke digitale toegang tot informatie over gemeentelijke diensten, afspraken, vergunningen en andere zaken tijdelijk verstoord.

Het gaat om een voorzorgsmaatregel. Er zijn geen aanwijzingen bekend dat de gemeente Zwolle daadwerkelijk is gehackt.
<

Ook websites van gemeenten rond Zwolle offline

Ook in de regio breidt de storing zich uit. Eerder waren alleen de raadsinformatiesystemen onbereikbaar, maar inmiddels liggen ook de reguliere gemeentewebsites van Zwartewaterland, Ommen, Epe, Olst-Wijhe en Nunspeet eruit, blijkt uit een controle van RTV Focus Zwolle.

Daardoor kunnen inwoners tijdelijk geen gebruikmaken van de gebruikelijke digitale gemeentelijke dienstverlening en informatievoorziening. De gemeente Hattem is vooralsnog wel online, maar waarschuwt bezoekers voor het beveiligingsprobleem.

Ook Isala in Zwolle ondervindt hinder

Bij ziekenhuis Isala in Zwolle is de gewone website wel bereikbaar, maar kunnen patiënten tijdelijk bepaalde digitale informatie niet bekijken.

Isala maakte woensdag bekend dat de patiëntanimaties van leverancier Indiveo vanwege een technische beveiligingsmaatregel tijdelijk niet beschikbaar zijn. Het gaat om animaties waarmee patiënten informatie krijgen over onderzoeken en behandelingen.

Volgens het ziekenhuis werkt de leverancier aan een oplossing. De zorgverlening gaat gewoon door.

Isala vermeldt niet expliciet dat de maatregel rechtstreeks verband houdt met de PHP-kwetsbaarheden.

Ook PEC Zwolle haalt website en apps offline

Ook voetbalclub PEC Zwolle ontkomt niet aan de gevolgen van het grote PHP-beveiligingslek. De club heeft woensdagmiddag zowel de officiële website als de PEC Zwolle App en de PEC Zwolle Business App uit voorzorg offline gehaald.

Dat laat PEC Zwolle woensdag om 14.20 uur weten via sociale media. Volgens de club zijn de maatregelen genomen vanwege het wereldwijde beveiligingsrisico rond PHP.

Daardoor zijn verschillende digitale diensten van de Zwolse eredivisieclub tijdelijk niet beschikbaar. Wanneer de website en beide apps weer worden ingeschakeld, is nog onbekend. PEC Zwolle laat weten nieuwe informatie te delen zodra er een update is.

Rechtspraak schakelt websites uit: ook hinder voor journalisten

Ook de Nederlandse Rechtspraak heeft woensdagmiddag verschillende digitale diensten uit voorzorg offline gehaald vanwege de kwetsbaarheden in PHP.

Het gaat onder meer om de websites Werkenbijderechtspraak.nl en SSR.nl, inclusief de MijnSSR-omgeving. Ook de bestandenpostbus waarmee zittingsinformatie beschikbaar wordt gesteld aan journalisten, is tijdelijk uitgeschakeld.

Dat laatste is onder meer relevant voor de rechtbankverslaggeving in Zwolle, waar de rechtbank Overijssel is gevestigd.

De belangrijkste website van de Rechtspraak, rechtspraak.nl, blijft wel bereikbaar. Ook de beveiligde Mijn Rechtspraak-omgeving functioneert volgens de organisatie gewoon.

Volgens de Rechtspraak maken deze twee systemen geen gebruik van PHP en hoeven ze daarom niet uit voorzorg te worden uitgeschakeld.

Ook openbaarvervoerbedrijf EBS getroffen

Ook bij het openbaar vervoer zijn gevolgen zichtbaar. De website van vervoersbedrijf EBS is woensdag uit de lucht gehaald, meldt de NOS.

Het bedrijf verzorgt onder de merknaam RRReis het busvervoer in Zwolle en grote delen van de regio IJssel-Vecht.

Het uitvallen van een website betekent overigens niet dat ook het busvervoer stilligt. Evenmin is bevestigd dat de afzonderlijke website of reisplanner van RRReis door het beveiligingslek onbereikbaar is.

Ook Stateninformatie provincie Overijssel offline

Bij de provincie Overijssel is eveneens een belangrijke digitale voorziening uitgeschakeld. Het gaat om het systeem met Stateninformatie, waarin de vergaderstukken, Statenvoorstellen, moties en besluiten van Provinciale Staten worden gepubliceerd.

De informatie is normaal gesproken te vinden via overijssel.stateninformatie.nl.

Het platform wordt verzorgd door NotuBiz. Deze leverancier heeft woensdag uit voorzorg zijn dienstverlening aan overheden uitgeschakeld. Daardoor zijn ook bij andere provincies en gemeenten officiële politieke documenten niet normaal toegankelijk.

Wat is PHP en waarom zijn zoveel websites kwetsbaar?

PHP is een programmeertaal die vooral wordt gebruikt om websites te laten functioneren. Denk aan het verwerken van formulieren, het tonen van nieuwsartikelen en het ophalen van informatie uit databases.

Ook bekende websitesystemen zoals WordPress, Drupal en Joomla maken gebruik van PHP. Daardoor kan een beveiligingslek in deze software grote gevolgen hebben voor websites over de hele wereld.

De nu ontdekte kwetsbaarheden krijgen allebei een ernstscore van 9,2 op een schaal van 10. Dat is uitzonderlijk hoog.

Onder bepaalde omstandigheden kunnen aanvallers via zo’n kwetsbaarheid eigen computercode uitvoeren op een server, mogelijk zelfs zonder inloggegevens. Daarmee kunnen zij proberen toegang te krijgen tot vertrouwelijke informatie of controle over de server over te nemen.

Het is niet zo dat iedere website die PHP gebruikt daadwerkelijk is gehackt. Ook hoeft niet iedere installatie onder dezelfde omstandigheden kwetsbaar te zijn. Veel organisaties sluiten hun website juist preventief af om misbruik te voorkomen.

Cyberaanval of voorzorgsmaatregel?

Hoewel er wordt gewaarschuwd voor mogelijke cyberaanvallen en hacks, is het belangrijk onderscheid te maken tussen een kwetsbare website en een daadwerkelijk gehackt systeem.

Het Nationaal Cyber Security Centrum meldde woensdagmiddag nog geen actief misbruik van de PHP-kwetsbaarheden te hebben vastgesteld. Beveiligingsbedrijf Cloudflare signaleerde daarentegen al pogingen om de beveiligingsproblemen uit te buiten.

Dat websites van DigiD, MijnOverheid en de gemeente Zwolle offline zijn gehaald, is daarom geen bewijs dat hackers toegang hebben gekregen tot gegevens van inwoners.

Wanneer zijn de websites weer bereikbaar?

De ontwikkelaars van PHP hebben aangekondigd woensdag 21 oktober om 16.00 uur Nederlandse tijd beveiligingsupdates beschikbaar te stellen.

Met die updates moeten de ernstige kwetsbaarheden worden verholpen. Vervolgens moeten webhostingbedrijven en systeembeheerders de nieuwe versies installeren en controleren of hun systemen veilig kunnen worden ingeschakeld.

Dat betekent niet dat alle getroffen websites direct om 16.00 uur weer online zullen zijn. Het herstel kan per organisatie verschillen.

Ook bij NotuBiz, dat de raads- en Stateninformatiesystemen verzorgt, is nog niet duidelijk wanneer alle diensten weer volledig beschikbaar komen.