Overheidswebsites offline na AI-ontdekt lek leidt tot beveiligingsalarm

In dit artikel:

Overheidswebsites in Europa en andere landen gingen woensdag 21 oktober tijdelijk offline nadat ernstige kwetsbaarheden in PHP waren onthuld. De ontwikkelaars van de veelgebruikte programmeertaal brachten met spoed beveiligingsupdates uit en riepen alle gebruikers op die onmiddellijk te installeren. Sommige technologiebedrijven waarschuwden dat aanvallers de lekken mogelijk al misbruikten.

De kwetsbaarheden waren jarenlang onopgemerkt gebleven in de PHP-codebasis en werden volgens afzonderlijke onderzoeken ontdekt met behulp van kunstmatige intelligentie. Calif en het aan Alphabet gelieerde cybersecuritybedrijf Wiz gebruikten AI-tools om de fouten op te sporen en te analyseren. Nu de oplossing openbaar is, kunnen hackers de kwetsbaarheid volgens experts relatief eenvoudig reverse-engineeren. Zij vrezen daarom een wereldwijde golf van aanvallen op servers die nog niet zijn bijgewerkt.

PHP wordt sinds de jaren negentig gebruikt om webpagina’s te laten functioneren en vormt de basis voor een groot deel van het internet, onder meer via WordPress, Drupal, Joomla en Magento. Volgens W3Techs draait de taal op ongeveer 75 procent van de websites waarvan de gebruikte technologie bekend is. Naar schatting 1,5 miljoen van 2,6 miljoen door Censys onderzochte hosts gebruiken een kwetsbare, niet meer ondersteunde PHP-versie. Vooral kleine organisaties en websitebeheerders zonder directe controle over hun server lopen risico. Gehoste diensten van WordPress.com en Tumblr zouden volgens Automattic niet kwetsbaar zijn.

In Nederland haalde het Nationaal Cyber Security Centrum zijn eigen website uit voorzorg offline. Ook Overheid.nl, de Haven van Rotterdam, de KNVB, websites van de vijf grootste politieke partijen en meerdere ziekenhuiswebsites werden tijdelijk uitgeschakeld. De Nederlandse premier zei de situatie nauwlettend te volgen. In andere landen werden eveneens diensten stilgelegd: Finland schakelde openbare overheidsnetwerken uit, Frankrijk plaatste overheidswebsites in preventief onderhoud en Denemarken beperkte verschillende gemeentelijke diensten, waaronder een communicatieplatform voor scholen. Wikipedia en Internet Archive meldden ook systemen tijdelijk te hebben uitgeschakeld om patches toe te passen. Cybersecurityinstanties adviseren organisaties die niet direct kunnen updaten hun websites offline te halen.