Wie woensdagmiddag 21 oktober vanaf de keukentafel de raadsstukken van Tilburg, Breda of Den Bosch wilde doornemen, kwam niet verder dan een foutmelding. Vergadersysteem NotuBiz, dat door zo’n honderd gemeenten wordt gebruikt, lag eruit. DigiD en MijnOverheid ook. Net als de websites van de Tweede Kamer, de Autoriteit Persoonsgegevens, het RIVM, de ANWB, Tweakers en delen van SURF, het netwerk dat universiteiten en hogescholen verbindt.
Voor zover bekend is niemand gehackt. In de meeste gevallen trok de desbetreffende webbeheerder zelf de stekker eruit. Zelfs het het Nationaal Cyber Security Centrum (NCSC) haalde ncsc.nl uit voorzorg offline. Volgens justitieminister David van Weel had de golf aan uitgeschakelde sites ‘impact op onze digitale samenleving’.
De oorzaak van deze PHP lek: PHP2Shell
De oorzaak? PHP2Shell, twee lekken in PHP. Dat is de programmeertaal waarop zo’n 70 procent van alle websites draait, van WordPress-sites tot webshops. Via die lekken kon een hacker zonder wachtwoord een server overnemen. En omdat het lek in PHP zelf zat en niet in de website, had het geen zin om je website of plugins bij te werken. Alleen een update van PHP zelf hielp. Die kwam woensdag om 16.00 uur, een dag eerder dan gepland, omdat details al waren uitgelekt.
En PHP zit op meer plekken dan je denkt. Niet alleen in websites, maar ook in intranetten en in sommige firewalls en vpn’s, vaak zonder dat het erbij staat. Júist de systemen waarmee medewerkers thuis of onderweg inloggen op hun werk.
Lees ook: Deze bedrijven zijn al eens gehackt
‘Achteraf kun je zeggen: misschien is er niks gebeurd’
Pelle Aardewerk (HP)
Was al dat offline halen een overreactie? Aardewerk vindt van niet. ‘Ik vond het een goed besluit van degenen die het deden’, stelt hij. ‘De meningen zijn verdeeld, omdat het directe impact heeft op de business. Achteraf kun je zeggen: misschien is er niks gebeurd. Zie het niet als een IT-risico, maar als een businessrisico. Dat is de eerste stap.’
Voor wie hybride werkt, ís het web het kantoor. Als portalen, vergadersystemen en inlogdiensten dicht moeten, valt werk stil. ‘Je moet je crisisteam bij elkaar krijgen. Niet alleen het IT-incidentteam, maar een businesscrisisteam. Wat is de impact op klanten? Op sales? Wat kost het? Wat doet het met je reputatie?’
Tekenend is ook wat níet uitviel: de meeste websites van het Rijk bleven online, simpelweg omdat ze geen PHP gebruiken. ‘Wie weet wat er onder zijn systemen draait, hoeft minder te gokken. Maar het blijft een feit dat dit vaker gaat geburen.’
AI maakt van oude lekken een wapen
Dat het vaker gaat gebeuren, heeft alles met AI te maken. De zwakke plekken in PHP waren niet nieuw. Een ontwikkelaar zag tijdens een audit in 2024 al signalen van één van de fouten, maar een werkende aanval bleef toen theorie. Dit jaar vonden onderzoekers van Calif wél een route, met hulp van AI. Volgens Wiz deed één onderzoeker daardoor in een week waar een topteam eerder maanden over zou doen.
Patchen moet in uren, niet in dagen
Dat werkt twee kanten op. Amazon zag op 17 oktober al een aanvalspoging, vier dagen voor de officiële bekendmaking. De tijd tussen ontdekking en misbruik krimpt, en daarmee de tijd die je hebt om te patchen. Aardewerk denkt terug aan een gesprek met de CISO van een multinational, een jaar geleden. ‘Die zei: we zijn van gemiddeld 42 naar 21 dagen gegaan met patchen. Dat hebben we gevierd. En toen kwamen we er meteen achter dat het uren hadden moeten zijn in plaats van dagen.’
Veel organisaties zitten daar nog ver vanaf. ‘Het duurt gemiddeld een maand voordat een patch is geïmplementeerd’, zegt Aardewerk. ‘Maar dat moet in uren of minuten.’
‘Wat is er gebeurd in de wereld? Heeft het impact op ons?’
Ook de regels jagen het tempo op. Europese wetgeving als NIS2, DORA en de Cyber Resilience Act verplicht organisaties om ernstige incidenten en kwetsbaarheden snel te melden. Zo moeten fabrikanten sinds 11 september binnen 24 uur een eerste melding doen van actief misbruikte kwetsbaarheden in hun producten.
Dat is goed, maar het heeft een keerzijde, waarschuwt Aardewerk. ‘Je laat het weten aan het NCSC, en dat zet het online. Dan zijn er ineens heel veel mensen die die kwetsbaarheid kennen. Die kunnen er iets aan doen, of er misbruik van maken. Iemand zet het op YouTube. Honderd mensen kijken, maar het gaat miljoenen keren viraal. En dan weten mensen ineens hoe je een BitLocker-sleutel kunt onderscheppen. We moeten dus sneller reageren op kwetsbaarheden en incidenten, omdat ze publiek worden.’
Zijn advies: begin klein. ‘Houd misschien wel een dagelijkse stand-up van een kwartier in de ochtend. Wat is er gebeurd in de wereld? Heeft het impact op ons? Zo ja, wat doen we? En luister naar de adviezen van het NCSC, in plaats van alleen zelf de call te maken.’
Het draaiboek bij een PHP-lek in vier stappen
Toch was het PHP-lek een goede oefening, vindt Aardewerk. ‘Want dit gaat vaker gebeuren.’ Hoe had zo’n dag er dan uit moeten zien? Hij schetst vier stappen.
- Breng het crisisteam bij elkaar: IT en business aan één tafel, met als eerste vraag: hoe nemen we een besluit?
- Trek de stekker eruit: ‘Zorg dat het zich niet gaat verspreiden, of dat er credentials worden gestolen.’
- Bel het NCSC en vraag om hulp: ‘Daar komen de meldingen van kwetsbaarheden samen, en het NCSC helpt bij het vinden van de oorzaak en de oplossing. ‘Die waren zelf ook offline, maar je kon ze nog wel bellen.’
- Voer de patch meteen door: ‘Wacht op de patch en voer die direct door. Daarna kun je weer up and running zijn.’
Volgens Aardewerk gaat de les verder dan PHP alleen. ‘De goede les is geweest: hoe manage je een IT-incident bij een derde partij in je keten, dat impact heeft op je bedrijfskritische processen?’
Dit is deel 1 van een tweeluik over het PHP-lek. Volgende week verschijnt deel 2. Daarin vertelt Aardewerk wat er ná de patch nog misgaat: leveranciers die elkaar bestoken met mails, phishing die meelift op het nieuws en beveiliging die al in je laptop zit, maar niet aanstaat.
Neem contact op
Heb je een vraag die (nog) niet in een artikel beantwoord wordt of wil je gericht advies voor jouw organisatie? Vul dan het formulier in en wij brengen jou vrijblijvend in contact met één van onze HP-experts.
Contact
