Meerdere websites offline na cyberaanvallen PHP: een overzicht

Cyberbeveiliger Cloudflare meldde vanmorgen dat bedrijven geconfronteerd worden met cyberaanvallen die gericht zijn op de kwetsbaarheden in PHP. Deze programmeertaal wordt op grote delen van het internet gebruikt. En daarna ging het snel.

Onder meer de sites van voetbalclubs FC Twente en Fortuna Sittard, politievakbonden ACP en NPB, apothekerskoepel KNMP en openbaarvervoerbedrijf EBS zijn tijdelijk niet bereikbaar. Dat geldt ook voor de sites van letselschadespecialist Yme Drost, het Rijksinstituut voor Volksgezondheid en Milieu (RIVM), koepelorganisatie Universiteiten van Nederland, de ANWB en de Kustwacht en telefoonwinkel BelSimpel.

De site van Scouting Nederland is tijdelijk offline ‘in verband met een ontdekt lek in PHP’. Ook sommige apps van het Voedingscentrum zijn tijdelijk niet bereikbaar.

Lees ook: Wereldwijde cyberaanvallen PHP, advies Pelle Aardewerk (HP): ‘Direct crisisteam bij elkaar roepen’

MijnOverheid en DigiD uit de lucht

Ook de website van MijnOverheid is uit voorzorg offline gehaald vanwege kwetsbaarheden in de programmeertaal PHP. Dat bevestigt een woordvoerder van Logius, dat de website beheert aan ANP. Op MijnOverheid kunnen burgers gegevens inzien of doorgeven over bijvoorbeeld hun werk of woonsituatie.

Logius beheert ook DigiD. Men kan daar nog steeds mee inloggen bij verschillende instanties.

Website Tweede Kamer uit voorzorg offline

De website van de Tweede Kamer is uit voorzorg offline gehaald in verband met kwetsbaarheden die zijn ontdekt in de programmeertaal PHP. Dat meldt een woordvoerder desgevraagd aan ANP.

„Deze kwetsbaarheden spelen voor websites wereldwijd en maken het mogelijk om van afstand een server aan te sturen”, aldus de zegsman. „Op die manier kunnen kwaadwillenden mogelijk controle krijgen over de server.”

Veiligheidsregio’s

Websites van zeker dertien van de 25 veiligheidsregio’s in Nederland zijn woensdag offline gehaald. Organisaties halen hun websites uit voorzorg uit de lucht vanwege het risico op digitale aanvallen. Dat blijkt uit een inventarisatie van het ANP.

Onder meer de websites van de veiligheidsregio's IJsselland, Twente, Gelderland-Midden, Noord-Holland-Noord, Rotterdam-Rijnmond en Zeeland zijn niet bereikbaar. De websites van Groningen, Friesland, Drenthe en Amsterdam-Amstelland zijn wel online.

Autoriteit Persoonsgegevens ook offline

Ook de website van de Autoriteit Persoonsgegevens (AP) ligt eruit vanwege de PHP-kwetsbaarheden, meldt het AD. „Wij doen mee met de algemene zorg hierover”, zegt een woordvoerder tegen AD. „We nemen voorzorgsmaatregelen, dus nemen we geen afwachtende houding in.”

Geen vluchtgegevens beschikbaar in Schiphol app

Op de website van Schiphol is te lezen dat de luchthaven diverse voorzorgsmaatregelen heeft genomen. Hierdoor zijn in de app geen actuele vluchtgegevens te lezen. De website is nog wel in de lucht. Reizigers wordt daarom aangeraden de website in de gaten te houden.

Haven Rotterdam offline, geen concrete veiligheidsproblemen

Het Havenbedrijf Rotterdam heeft zijn website tijdelijk offline gehaald om de kwetsbaarheden in programmeertaal PHP. Er zijn echter geen signalen dat de situatie tot concrete veiligheidsproblemen leidt. „Er is geen operationele impact op onze dienstverlening of havenprocessen”, laat een woordvoerder van de beheerder van de Rotterdamse haven weten aan ANP.

De zegsman benadrukt dat het havenbedrijf de ontwikkelingen van woensdag nauwgezet volgt. „Uit voorzorg is onze website tijdelijk offline gehaald. De situatie heeft onze volle aandacht”, zegt hij.

„We brengen in kaart waar deze technologie binnen onze systemen wordt gebruikt en nemen waar nodig maatregelen”, voegt hij daaraan toe. „Via Ferm-zeehavens, de organisatie voor cybersecurity in de Nederlandse zeehavens, schakelen we daarnaast direct met deelnemende bedrijven en organisaties in de havens over de mogelijke gevolgen en te nemen maatregelen.”

Eneco en netbeheerders

Energiebedrijf Eneco laat weten uit voorzorg ook een aantal websites tijdelijk offline te hebben gehaald. Dat gaat om de sites van dochter Agro Energy en een specifieke site over windturbines in België. Maar het merendeel van de sites kan volgens een woordvoerder veilig online blijven. „Ook onze essentiële systemen zijn niet geraakt door de kwetsbaarheden.”

De sites van netbeheerders TenneT en Stedin zijn ook tijdelijk niet bereikbaar.

Odido zet sites Ben en Simpel op zwart

Telecombedrijf Odido heeft uit voorzorg een aantal websites tijdelijk offline gehaald om kwetsbaarheden in de programmeertaal PHP. Het gaat onder andere om de sites van de merken BEN en Simpel.

„Deze sites draaien op PHP en zijn daarom tijdelijk niet bereikbaar”, verklaart het bedrijf. „Zodra de beveiligingspatches beschikbaar zijn, voeren we deze direct door.”

De maatregel heeft volgens de onderneming geen gevolgen voor andere diensten van Odido. De website van Odido zelf maakt geen gebruik van PHP en blijft daarom gewoon beschikbaar.

Hostingbedrijven

Hostingbedrijven Yourhosting en MijnDomein hebben uit voorzorg websites en diensten tijdelijk offline gehaald vanwege een beveiligingslek in PHP, een programmeertaal die onder meer wordt gebruikt voor websites met WordPress.

Yourhosting heeft zijn systemen tijdelijk uitgeschakeld. De diensten van klanten blijven volgens het bedrijf grotendeels online, maar webmail is tijdelijk niet beschikbaar. E-mail via programma's als Outlook en Apple Mail blijft wel werken.

MijnDomein heeft de eigen website en de websites die het bedrijf voor klanten host offline gehaald. Beide bedrijven wachten op een beveiligingsupdate van de makers van PHP. Zodra die beschikbaar is, willen ze de update installeren en de websites zo snel mogelijk weer veilig online brengen.

Yourhosting en MijnDomein zijn grote Nederlandse aanbieders van webhosting en domeinnamen. Ze bieden bedrijven en particulieren onder meer serverruimte om websites online te zetten en diensten voor e-mail.

Hoogvliet haalt website uit voorzorg offline

Hoogvliet haalt haar website uit voorzorg offline. „Onze teams zijn hard aan het werk om ervoor te zorgen dat updates zo snel mogelijk kunnen worden geïnstalleerd. PHP heeft aangekondigd om 16.00 uur vandaag een belangrijke veiligheidsupdate te publiceren. Zodra deze is verwerkt en de website weer veilig wordt bevonden, wordt www.hoogvliet.nl weer bereikbaar”, laat de supermarkt weten.

UWV applicaties voor Ziektewet

Uitkeringsinstantie UWV heeft uit voorzorg bepaalde applicaties offline gehaald vanwege zwakke plekken in de programmeertaal PHP. Het gaat om toepassingen voor het ziek- en beter melden voor mensen die in de Ziektewet zitten, meldt een woordvoerster.

mmInloggen via DigiD voor UWV-dienstverlening is nog steeds mogelijk, dus dit heeft verder geen impact op onze dienstverlening. Uiteraard blijft UWV de hele situatie zeer nauwkeurig monitoren”, meldt de instantie.

Websites grote motorzaken

Ook de website van MotoPort, een van de grootste motorzaken met meer dan tien vestigingen verspreid over het land, is tijdelijk offline. „Vanwege een wereldwijd beveiligingsprobleem in PHP, de software waarop deze website draait, hebben we de website uit voorzorg tijdelijk offline gehaald”, staat vermeld wanneer iemand de website probeert te bezoeken.

Ook de website van het Brabantse Van Meel Motoren, een andere grote motorzaak, is om dezelfde reden op zwart gezet. „Door deze kwetsbaarheden bestaat het risico dat kwaadwillenden toegang krijgen tot systemen en mogelijk gevoelige gegevens kunnen stelen. Om dit risico te voorkomen, hebben wij zoals aanbevolen besloten alle webshops preventief offline te halen”, valt te lezen.

De site van de grote motorwinkel Goedhart Motoren in Bodegraven is eveneens offline.

Universiteiten en scholen

Delen van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo’s en onderzoeksinstellingen zijn woensdag uit voorzorg uitgeschakeld. Het is niet bekend welke delen van het SURF-netwerk zijn getroffen. Ook de gevolgen voor bijvoorbeeld colleges en tentamens zijn nog niet duidelijk.

SURF is het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo's, academische ziekenhuizen en onderzoeksinstituten.

Website KNVB niet bereikbaar

De websites van voetbalbond KNVB zijn offline gehaald. Ook websites als Voetbal.nl en OnsOranje.nl zijn niet bereikbaar.

„Onze websites zijn tijdelijk niet bereikbaar”, meldt de voetbalbond. „We doen ons best om ervoor te zorgen dat je de website zo snel mogelijk weer kunt bezoeken.”

De websites van verschillende andere sportbonden zijn ook offline. Zo zijn de Judo Bond Nederland (JBN), roeibond KNRB, wielerbond KNWU en zwembond KNZB niet bereikbaar. Ook de website van schaatsbaan Thialf is offline.

Gemeenten en provincies

Een dienst waarmee gemeenten, provincies en waterschappen officiële berichten publiceren, is woensdag uit voorzorg uitgeschakeld na een waarschuwing voor kwetsbaarheden in de programmeertaal PHP. Volgens het bedrijf NotuBiz zijn er geen aanwijzingen voor een veiligheidslek.

Ruim honderd lagere overheden maken gebruik van NotuBiz. Ze delen daar officiële informatie met raadsleden en Statenleden. Zulke mededelingen zijn ook zichtbaar voor het publiek.

Gemeenten als Den Haag, Almere, Breda, Haarlem, Den Bosch, Delft, Katwijk, Montferland en Altena maken gebruik van NotuBiz, evenals provincies zoals Overijssel, Gelderland en Friesland.

Technische problemen

Meerdere provincies hebben hierdoor technische problemen. Daardoor kan een commissievergadering in de provincie Groningen niet via een livestream worden gevolgd. Ook de website van de provincie Groningen is niet bereikbaar. Groningen meldt dat de stream van de Statenvergadering later kan worden teruggekeken. Een vergadering in Friesland wordt via het YouTube-kanaal van de provincie uitgezonden en kan ook worden teruggekeken.

De provincie Gelderland laat weten dat het Stateninformatiesysteem niet bereikbaar is. Daarin worden officiële documenten en vergaderstukken gepubliceerd. Volgens NotuBiz zijn er geen aanwijzingen voor een veiligheidslek. Het is niet bekend wanneer NotuBiz opnieuw wordt ingeschakeld.

Vlissingen heeft ‘vanwege een potentieel beveiligingsrisico’ haar volledige website offline gehaald. „Zodra alles weer veilig is, zetten we de applicatie direct weer aan”, meldt de Zeeuwse gemeente, die verwacht dat het ‘enige uren’ duurt.

Op de site van buurgemeente Borsele is het niet mogelijk om bestanden te uploaden, ‘denk aan het uploaden van foto’s bij het maken van een melding’. Ook de sites van de gemeenten Eindhoven, Maastricht en Maassluis zijn uit voorzorg offline.

Websites voor minima

De websites van gemeentelijke passen voor minima zijn woensdag niet bereikbaar door problemen met de veelgebruikte programmeertaal PHP. Het is niet duidelijk of dit ook gevolgen heeft voor het gebruik van de pas.

De sites van onder meer de Stadspas in Amsterdam, de Rotterdampas, de Utrechtse U-pas, de Stadspas Almere en de Sleutelpas in Leiden zijn offline. Bij de Ooievaarspas in Den Haag staat een melding dat de site uit voorzorg offline is gehaald. „Er is niets misgegaan. We doen dit om risico’s te voorkomen.”

Ook sites ziekenhuizen offline

De sites van onder meer Maastricht UMC+, het Jeroen Bosch Ziekenhuis in Den Bosch, BovenIJ in Amsterdam, het Rode Kruis Ziekenhuis in Beverwijk, het St. Jans Gasthuis in Weert en het Albert Schweitzer Ziekenhuis in Dordrecht zijn niet bereikbaar.

Wie probeert de sites van Haaglanden MC (Den Haag), het St. Antonius Ziekenhuis (Nieuwegein), Zuyderland (Geleen en Heerlen), Amphia (Breda) en het Elisabeth-TweeSteden Ziekenhuis (Tilburg en Waalwijk) te bezoeken, krijgt een foutmelding te zien.

Op de site van ziekenhuis Bravis (Roosendaal en Bergen op Zoom) staat een melding: ‘Vanwege de PHP2Shell-kwetsbaarheid hebben wij onze systemen uit voorzorg tijdelijk in onderhoudsmodus gezet.’

Bij het ziekenhuis Franciscus (Rotterdam en Schiedam) zijn de online patiëntenfolders niet beschikbaar ‘door landelijke beveiligingsrisico’s’. Bij de Gelre Ziekenhuizen (Apeldoorn en Zutphen) en het Beatrixziekenhuis in Gorinchem is de Patient Journey App niet beschikbaar, doordat de leveranciers de beveiliging nog moeten bijwerken. Met die app kunnen patiënten onder meer thuismetingen doorgeven aan artsen.

De Friese ziekenhuizen Frisius MC (Leeuwarden en Heerenveen) en Nij Smellinghe (Drachten) hebben dezelfde foutmelding op de site gezet. Daarin staat dat de site uit voorzorg tijdelijk offline is gehaald. "Uw gegevens zijn niet in gevaar. Zodra de officiële oplossing is doorgevoerd, is de website weer gewoon bereikbaar."

Ook website Unie van Waterschappen offline

De website van de Unie van Waterschappen is tijdelijk niet bereikbaar. De koepelorganisatie van waterschappen meldt dat het de systemen heeft uitgezet na een waarschuwing voor kwetsbaarheden in de programmeertaal PHP.

„We doen er alles aan om de website zo snel mogelijk weer online te brengen”, laat de organisatie weten aan ANP. Ook de site van het waterschap Drents Overijsselse Delta kan niet worden bezocht. Het schap stelt dat de ‘applicatie uit voorzorg is uitgezet vanwege een potentieel beveiligingsrisico’. De sites van veel andere waterschappen zijn wel bereikbaar.

Website en app RTL

De site en app van RTL worden offline gehaald. RTL Nieuws blijft wel nieuws brengen via social media, tv en een liveblog.

Ook de website van Tweakers is uit voorzorg offline gehaald en de site van Omroep Flevoland ligt er deels uit. De omroep schrijft dat ze tijdelijk geen nieuwe artikelen publiceren vanwege de PHP-kwestie.

ANP heeft uit voorzorg een deel van de systemen offline gehaald.

De site en apps van streamingdienst Pathé Thuis zijn uit voorzorg tijdelijk offline. Pathé zegt het advies te volgen van het Nationaal Cyber Security Centrum (NCSC).

Het is niet bekend hoe lang de dienst niet bereikbaar is. „Pathé Thuis doet er alles aan om de site en apps zo snel mogelijk weer online te brengen”, aldus een woordvoerder. Pathé is de grootste filmexploitant van Nederland.

De NPO heeft het systeem waarmee nieuwe content op streamingplatforms NPO Start en NPO Luister wordt geüpload, uit voorzorg offline gehaald. Hierdoor zullen nieuwe afleveringen, podcasts en radiofragmenten die woensdagmiddag gepubliceerd zouden worden, vertraging oplopen.

De app en website van RTL zijn weer online

De app en website van RTL Nieuws zijn na een paar uur offline te zijn geweest weer online. Volgens RTL Nieuws is het probleem inmiddels opgelost, waardoor bezoekers de website en app veilig kunnen bezoeken. In het bericht van RTL Nieuws staat verder dat de problemen niet hebben geleid tot schadelijke gevolgen en dat gebruikers van de site en app geen actie hoeven te ondernemen.

Inmiddels is ook onder meer techwebsite Tweakers weer in de lucht.

Lees ook: Wereldwijde cyberaanval op programmeertaal PHP, eerste bedrijven en organisaties al geraakt

Website en app NS blijven in de lucht

De Nederlandse Spoorwegen voorzien geen impact van de kwetsbaarheden die zijn ontdekt in programmeertaal PHP. Dat laat een woordvoerder van de NS desgevraagd weten aan het ANP.

„We waren door goede contacten met experts gisteravond al vroeg op de hoogte. Onze teams zitten klaar om maatregelen te nemen, zoals het doorvoeren van de patch. Op dit moment hebben de door CERT genoemde kwetsbaarheden bij NS geen impact en we verwachten ook niet dat dit het geval gaat zijn. Uiteraard houden we een vinger aan de pols.”

Stemmen op NS publieksprijs niet mogelijk

Boekenkoepel CPNB laat weten de website waarop lezers kunnen stemmen voor de NS Publieksprijs uit voorzorg te hebben gesloten.

Stemmen kan tot 12 november. „Vooralsnog heeft dit geen gevolgen voor de stemperiode”, aldus een woordvoerder van CPNB. „Als het echt veel langer gaat duren, dan moeten we nadenken of dat consequenties gaat hebben.” Alle genomineerden zijn op de hoogte gesteld van de ‘stempauze’.

De genomineerden voor de literatuurprijs zijn dit jaar Saskia Noort, Adriaan van Dis, Herman Koch, Simone van der Vlugt, Francine Oomen en Judith Fanto. De publieksprijs wordt op 12 november voor de 39e keer uitgereikt en dit jaar voor de 25e keer met de NS als hoofdsponsor.

René van der Zel van XXL Nutrition wil geen risico lopen

Ook ondernemer René van der Zel van XXL Nutrition laat op LinkedIn weten de website uit voorzorg offline te hebben gehaald. Hij plaatst een foto van het ‘crisisoverleg’ op kantoor. „Dan het dilemma: blijf je online of ga je offline. Nou, daar was ik snel klaar mee, dat lijkt me geen risico dat ik wil lopen. Dus voor nu is onze site offline.”

Website picnic hoeft niet op zwart

Picnic haalt zijn website niet offline, ondanks dat die wel op programmeertaal PHP draait. Volgens een woordvoerder is zo’n ingreep in het geval van Picnic niet nodig. „Onze website is alleen een uithangbord. Je kunt daar niet bestellen.” Volgens een woordvoerder draaien de bestelapp en alle belangrijke systemen van Picnic niet op PHP.

Picnic zegt de patches, zodra die beschikbaar komen, ook meteen door te voeren voor zijn website.

Lees ook: Wereldwijde cyberaanvallen PHP, advies Pelle Aardewerk (HP): ‘Direct crisisteam bij elkaar roepen’

Bron: ANP

Ontvang elke week het beste van BusinessWise in je mailbox. Schrijf je hier nu gratis in en win je eigen robot!