De websites van de gemeenten Wassenaar, Katwijk, Voorschoten, Leiden en Den Haag zijn woensdagmiddag niet bereikbaar. Ook attractiepark Duinrell heeft zijn website en reserveringssysteem tijdelijk uitgeschakeld. Aanleiding is een ernstig beveiligingslek in de veelgebruikte programmeertaal PHP. In heel Nederland nemen overheden, bedrijven en andere organisaties maatregelen om cyberaanvallen te voorkomen.
Bezoekers van de website van de gemeente Wassenaar krijgen een melding dat de website tijdelijk niet beschikbaar is. “We hebben deze applicatie uit voorzorg uitgezet vanwege een potentieel beveiligingsrisico. Zodra alles weer veilig is, zetten we de applicatie direct weer aan”, valt te lezen op de website van de gemeente. Op Facebook meldt de gemeente dat ze bereikbaar blijft: “Je kunt ons telefonisch en per e-mail bereiken via 14070 en gemeente@wassenaar.nl. Ook onze gemeentelijke balies zijn geopend. Houd onze sociale mediakanalen in de gaten voor updates en verdere informatie.”
Ook de websites van Katwijk, Voorschoten, Leiden en Den Haag zijn woensdagmiddag niet bereikbaar. Volgens het Leidsch Dagblad hebben bijna alle gemeenten in de Leidse regio hun websites uit voorzorg offline gehaald.
Duinrell bevestigt dat het zijn website en reserveringssysteem tijdelijk heeft uitgeschakeld vanwege de kwetsbaarheden in PHP. Volgens het attractiepark kunnen bezoekers nog wel tickets kopen via duinrell.nl. Bibliotheek Voorschoten – Wassenaar heeft tijdelijk uit voorzorg de activiteitenagenda offline gehaald.
Raadsinformatie niet beschikbaar
De digitale informatievoorziening van gemeenten ondervindt eveneens hinder. Het bedrijf NotuBiz heeft zijn systemen uit voorzorg uitgeschakeld. Ruim honderd gemeenten, provincies en waterschappen gebruiken deze systemen om vergaderstukken en andere bestuurlijke informatie te publiceren.
Onder de gebruikers bevinden zich Katwijk, Den Haag en Delft. Inwoners en raadsleden kunnen de betreffende documenten tijdelijk niet via NotuBiz raadplegen. Volgens het bedrijf zijn er geen aanwijzingen dat hackers toegang hebben gekregen tot de systemen. Wanneer NotuBiz weer beschikbaar is, is nog niet bekend.
Ook landelijke websites offline
Het beveiligingslek treft organisaties in heel Nederland. Onder meer DigiD, MijnOverheid, de Tweede Kamer, het Nationaal Cyber Security Centrum (NCSC) en de Autoriteit Persoonsgegevens hebben hun websites uit voorzorg offline gehaald.
Ook verschillende ziekenhuizen, telecombedrijven en politieke partijen hebben maatregelen genomen. Onder meer RTL Nieuws en de KNVB hebben hun websites tijdelijk uitgeschakeld. Schiphol heeft zijn app offline gehaald, maar de website van de luchthaven blijft bereikbaar.
Risico op cyberaanvallen
De problemen ontstaan door twee ernstige kwetsbaarheden in PHP, een programmeertaal die veel websites gebruiken. Hackers kunnen deze lekken mogelijk misbruiken om op afstand toegang te krijgen tot servers en gegevens te stelen.
Het Amerikaanse beveiligingsbedrijf Cloudflare heeft al aanvallen op de kwetsbaarheden waargenomen. Het NCSC heeft zelf nog geen actief misbruik vastgesteld.
Het NCSC adviseert organisaties hun software zo snel mogelijk bij te werken. De ontwikkelaars van PHP verwachten woensdag om 16.00 uur een beveiligingsupdate uit te brengen. Tot die tijd halen veel organisaties hun websites uit voorzorg offline.
Het is nog niet bekend wanneer de gemeentelijke websites en de systemen van Duinrell weer volledig beschikbaar zijn.
Bron: NOS, Leidsch Dagblad, Telegraaf
