PHP-lek: waarom zoveel websites vandaag offline gingen en wat jij nu moet doen

DigiD, MijnOverheid, de Tweede Kamer, RTL.nl, meerdere ziekenhuizen en zelfs de KNVB: op woensdag 21 oktober gingen in Nederland en België tientallen websites uit voorzorg op zwart. De oorzaak is een ernstig beveiligingslek in PHP, de programmeertaal waarop een groot deel van het internet draait. Inmiddels is er een update. Wat is er precies aan de hand, merk je er als bezoeker iets van en wat moet je doen als je zelf een website hebt? We zetten het op een rij.

Wat is PHP?

PHP is een programmeertaal die op de server van een website draait. Elke keer als je een pagina opent, een formulier verstuurt of inlogt, zorgt PHP er vaak op de achtergrond voor dat dat werkt. De taal bestaat sinds 1995 en is enorm populair. Volgens de PHP Foundation draait zo’n 70 procent van alle websites op PHP of een variant ervan. Ook WordPress, het systeem achter een groot deel van alle Nederlandse bedrijfswebsites, is in PHP geschreven.

Wat is er aan de hand?

In PHP zijn twee kritieke kwetsbaarheden ontdekt, bekend als PHP2Shell. Ze kregen een ernstscore van 9,2 op 10. Via de lekken kan een aanvaller op afstand en zonder in te loggen eigen code uitvoeren op een server. In de praktijk betekent dat: de website overnemen, gegevens inzien of malware plaatsen.

Het lek zit dus niet in één website of plugin, maar in de taal zelf. Daardoor loopt vrijwel elke website met een kwetsbare PHP-versie risico, ongeacht hoe goed die verder beveiligd is. Het Nationaal Cyber Security Centrum (NCSC) stelt dat ieder systeem met PHP dat vanaf internet bereikbaar is, vermoedelijk kwetsbaar is zolang de update niet is geïnstalleerd.

Waarom gingen websites offline?

Normaal worden beveiligingslekken pas bekendgemaakt als er al een oplossing is. Dit keer lekten details eerder uit, terwijl de update nog niet beschikbaar was. Veel organisaties besloten daarom hun website tijdelijk offline te halen, zodat aanvallers geen kans kregen voordat de update er was.

Dat zag je vandaag overal terug. Volgens de NOS gingen onder meer DigiD.nl, MijnOverheid.nl, de website van de Tweede Kamer, RTL.nl, meerdere ziekenhuizen en voetbalclubs offline. In België gingen alle websites van de Vlaamse overheid tijdelijk op zwart. Ook Frankrijk en Finland haalden overheidssites uit de lucht.

Het NCSC benadrukt dat het niet om een aanval gaat, maar om een fout in de software. Tot het moment van schrijven heeft het NCSC geen actief misbruik gezien. Internationaal melden beveiligingsbedrijven wel dat de eerste aanvalspogingen zijn opgedoken. Het is dus zaak om snel te handelen.

De update is er: wat nu?

Rond 15.45 uur publiceerde PHP de beveiligingsupdate, iets eerder dan aangekondigd. Organisaties die hun website offline hadden gehaald, kunnen die na het installeren van de update weer online zetten. De verwachting is dat de meeste websites snel weer bereikbaar zijn.

Let wel op: de update is alleen beschikbaar voor PHP-versies die nog worden ondersteund, PHP 8.2 tot en met 8.5. Draait een website op PHP 8.1 of ouder, dan komt er vanuit PHP geen oplossing. Die websites moeten overstappen naar een nieuwere versie.

Wat merk je ervan als bezoeker?

Als bezoeker hoef je zelf niets te doen. Het lek zit op de server van de website, niet op je computer of telefoon. Je merkt het vooral doordat sommige websites of apps tijdelijk niet bereikbaar zijn. Wel is het verstandig om alert te zijn op phishing. Criminelen maken graag misbruik van nieuws als dit, bijvoorbeeld met mails die zogenaamd van je hostingpartij of bank komen en vragen om in te loggen. Klik daar niet op.

Heb je een eigen website? Dit moet je vandaag doen

Heb je een bedrijfswebsite of webshop, dan is de kans groot dat die op PHP draait. Dit zijn de stappen:

1. Check waar je website gehost wordt

Zit je bij een hostingpartij met gedeelde of beheerde hosting? Dan installeert de hostingpartij de PHP-update meestal voor je. Kijk op de website of statuspagina van je host of de update al is doorgevoerd, of neem contact op.

2. Heb je een eigen server of VPS? Installeer de update direct

Beheer je de server zelf, of laat je dat door een developer doen? Installeer dan direct de nieuwe PHP-versie en herstart de webserver. Wacht hier niet mee: zodra een update uitkomt, gaan aanvallers vaak juist op zoek naar servers die nog niet zijn bijgewerkt.

3. Controleer je PHP-versie

In WordPress vind je je PHP-versie onder Hulpmiddelen, Sitediagnose, Informatie, Server. Bij andere systemen staat het meestal in het controlepaneel van je hosting. Zie je PHP 8.1 of lager, dan moet je overstappen. Maak eerst een back-up en test daarna of je website, plugins en thema nog goed werken.

4. Vertrouw niet alleen op een firewall

Partijen als Cloudflare hebben extra beveiligingsregels ingesteld. Dat helpt, maar het lost het lek niet op. Alleen de PHP-update doet dat. Ook een update van WordPress of je plugins is niet genoeg, omdat het lek in PHP zelf zit.

5. Houd je website de komende dagen in de gaten

Let op ongebruikelijke dingen: onbekende beheerders, vreemde pagina’s, doorverwijzingen naar andere sites of een plotseling trage website. Dat kunnen signalen zijn dat iemand toch is binnengekomen.

Is dit het einde van PHP?

Nee. Beveiligingslekken komen in alle software voor, ook in andere programmeertalen. Het verschil zit in hoe snel ze worden opgelost en hoe goed websites worden onderhouden. Dit lek laat vooral zien hoe belangrijk het is dat iemand verantwoordelijk is voor de techniek achter je website: dat updates worden geïnstalleerd, dat er back-ups zijn en dat je niet op een verouderde PHP-versie blijft hangen bij je hosting.