PHP in de vuurlinie: 70 procent van het web raakt mogelijk
De programmeertaal PHP staat sinds vanochtend opeens centraal in een grootschalige digitale waarschuwingsfase: ongeveer 70 procent van alle websites wereldwijd draait op PHP en wordt daardoor als mogelijk kwetsbaar aangemerkt, vooral door twee recent ontdekte kritieke kwetsbaarheden die toegang op afstand kunnen toestaan. PHP zelf kondigde een veiligheidsupdate aan die woensdagmiddag om 16:00 uur gepland staat, waardoor er een punt van scherpe aandacht ontstaat voor zowel beheerders als aanvallers. Terwijl het team achter PHP meldt dat er nog geen indicatie is van breed actief misbruik, waarschuwen nationale instanties en securityteams dat het tijdsvenster tussen openbaarmaking en verspreiding van exploitcode kort en gevaarlijk kan zijn. De implicatie is helder: publieke servers met PHP die niet direct gepatcht worden lopen een reëel risico op overname en dat raakt niet alleen websites maar ook databases, gebruikersaccounts en gekoppelde backends. Voor organisaties betekent dit dat de komende uren cruciaal zijn om preventieve keuzes te maken en prioriteit te geven aan updatebeheer en netwerksegmentatie.
Preventief uit: grote spelers zetten sites op zwart
Als directe reactie hebben tal van organisaties hun websites uit voorzorg tijdelijk offline gehaald of beperkt toegankelijk gemaakt, een keuze die zowel zichtbaarheid als dienstverlening raakt. In Nederland ging een mix van commerciële en publieke websites uit de lucht, variërend van retailers tot nieuwsmedia en sportplatformen, vaak als onderdeel van een georganiseerde mitigatiestrategie. Voorbeelden van afgeschakelde of beperkte diensten zijn onder meer grote motorzaken en branchesites, mediawebsites en politieke partijpagina’s; enkele concrete namen en categorieën zijn hieronder samengevat.
- Retail en mobiliteit: ANWB zette zijn site tijdelijk uit, sommige motorzaken zoals MotoPort, Van Meel Motoren en Goedhart Motoren gingen op zwart.
- Media en tech: DPG Media nam meerdere sites offline waaronder mogelijk RTL Nieuws en andere titels; Tweakers nam systemen preventief uit de lucht vanwege zogenaamde PHP2Shell-kwetsbaarheden.
- Politieke partijen en sport: websites van VVD, CDA, PRO, BBB en PvdD waren tijdelijk niet bereikbaar; ook KNVB-sites zoals Voetbal.nl en OnsOranje lagen eruit.
Zorg en overheid voelen directe pijn
De impact op de zorgsector en overheidsdiensten is direct merkbaar: meerdere ziekenhuizen hebben hun publiek toegankelijke websites en soms patiëntenapps offlined gezet, waaronder Maastricht UMC+, Jeroen Bosch in Den Bosch, BovenIJ in Amsterdam, ziekenhuis Bravis in Roosendaal en Bergen op Zoom, en het Albert Schweitzer Ziekenhuis in Dordrecht. Daarbij melden Haaglanden MC, St. Antonius (Nieuwegein) en Elisabeth-TweeSteden (Tilburg en Waalwijk) foutmeldingen voor bezoekers, en bij Franciscus (Rotterdam en Schiedam) zijn online patiëntenfolders tijdelijk niet beschikbaar. Op overheidsniveau zijn diensten als MijnOverheid en DigiD deels geraakt of tijdelijk onbereikbaar, terwijl ook de site van het RIVM en zelfs de website van de Tweede Kamer preventief uit de lucht zijn gehaald. Daarnaast heeft SURF delen van het gezamenlijke onderwijs- en onderzoeksnetwerk teruggeschroefd en is de informatievoorziening van gemeenten via NotuBiz voor meerdere gemeenten zoals Den Haag, Almere en Breda tijdelijk beperkt.
De klok naar 16:00: waarom het spannend is
Het tijdstip 16:00 uur is door PHP zelf genoemd als het moment waarop een belangrijke update openbaar wordt gemaakt, en dat creëert een klassiek security-dilemma: zodra details bekend zijn, kan er snel exploitcode ontstaan en breed geoefend worden door kwaadwillenden. Cybersecurityexpert Daan Keuper waarschuwde dat zodra de details rond de kwetsbaarheden circuleren, criminelen kunnen scannen op kwetsbare hosts om systemen te kapen en toegang te krijgen tot gevoelige data; dat kan binnen minuten na publicatie gebeuren. Het Nationaal Cyber Security Centrum adviseert daarom expliciet om updates direct te installeren zodra ze beschikbaar zijn en benadrukt dat zolang systemen van het publieke internet bereikbaar zijn en PHP draaien, ze vermoedelijk kwetsbaar blijven. Die combinatie van korte reactietijd en schaalbaarheid van scans maakt dit incident uitzonderlijk urgent voor beheerders.
Risico’s, aanvalsscenario’s en opvallende keuzes
Technisch gezien richten de kwetsbaarheden zich op de mogelijkheid tot remote code execution waarmee een aanvaller een server van afstand kan sturen en feitelijk overnemen, met alle gevolgen van dien voor integriteit en beschikbaarheid van data en diensten. Er circuleren concrete termen zoals PHP2Shell in meldingen van organisaties die preventief offline gingen; die term verwijst naar een aanvalspad waarbij een kwetsbare PHP-omgeving een shell kan blootgeven aan een aanvaller. Niet alle partijen kozen hetzelfde pad: Picnic liet de site online omdat hun bestelsysteem niet op PHP draait, terwijl NU.nl al ruim vijftien jaar geleden al van PHP was afgestapt en daarom geen last heeft. SURF schakelde adviesdiensten en onderdelen van het onderwijsnetwerk uit, en organisaties zoals DPG Media en Omroeporganisaties rapporteren dat sommige sites en apps offline zijn voor nadere analyse en updates.
Actiepunten voor IT-teams: prioriteiten en checklists
Voor IT-afdelingen en beheerders zijn er nu heldere, concrete stappen die acute schade kunnen beperken, en het tempo van uitvoering bepaalt in veel gevallen de mate van blootstelling. Kort overzicht van noodzakelijke maatregelen:
- Installeer direct de PHP-updates zodra die om 16:00 uur beschikbaar zijn en patch alle publieke servers.
- Isoleer of haal tijdelijk van het publieke internet alle systemen die niet strikt nodig zijn en die PHP draaien.
- Controleer backup- en restore-processen, verifieer integriteit van backups en test herstelprocedures.
- Monitor logs en netwerkverkeer op scans, brute force-activiteiten en verdachte uploads; verhoog detectieniveaus.
- Communiceer transparant naar stakeholders en gebruikers over beschikbaarheid en herstelplanning, en zet incidentresponseteams paraat.
Heb je tips of informatie die kan helpen bij de berichtgeving of met het incidentresponseproces, mail dan via redactie@nu.nl en houd organisatiestrategieën gefocust: patchen, isoleren en observeren blijven nu de prioriteiten.