De websites van de gemeenten Lelystad, Dronten en Zeewolde zijn woensdagmiddag niet bereikbaar. Ze zijn bewust uit voorzorg offline gehaald vanwege twee ernstige beveiligingslekken in PHP. Ook elders in Nederland worden websites en digitale diensten tijdelijk uitgeschakeld. Woensdag zouden er beveiligingsupdates beschikbaar komen voor het systeem waarop heel veel websites draaien. Zo lang die er nog niet zijn, blijven ze uit de lucht. Er zijn vooralsnog geen aanwijzingen dat misbruik van de kwetsbaarheden is gemaakt.

De gevolgen zijn ook merkbaar bij Omroep Flevoland. De regionale omroep heeft de mogelijkheid om nieuwe artikelen op de website en in de app te publiceren tijdelijk uitgeschakeld. Ook de WhatsApp-dienst is uit voorzorg stilgelegd. Bestaande nieuwsberichten blijven wel beschikbaar. Omroep Flevoland wacht met het opnieuw inschakelen van de diensten totdat de noodzakelijke beveiligingsupdate is uitgevoerd.

Twee ernstige beveiligingslekken

Aanleiding zijn twee kritieke kwetsbaarheden in PHP. Deze programmeertaal wordt op grote schaal gebruikt om websites en webapplicaties te laten werken. De kwetsbaarheden hebben een ‘ernstscore’ van 9,2 op een schaal van 10. In het ernstigste geval zou een aanvaller via het internet opdrachten kunnen uitvoeren op een kwetsbare server. Daarmee kan mogelijk controle over een systeem worden verkregen.

Een beveiligingsupdate die de problemen moet oplossen, wordt woensdag om 16.00 uur Nederlandse tijd verwacht. Organisaties krijgen het advies deze update zo snel mogelijk te installeren. Wanneer dat niet direct mogelijk is, kan het tijdelijk offline halen van een website een voorzorgsmaatregel zijn.

Veel websites uit voorzorg offline

Niet alleen in Flevoland worden maatregelen genomen. Landelijk zijn woensdag verschillende websites en digitale systemen tijdelijk uitgeschakeld. Onder meer DigiD, MijnOverheid en de website van de Tweede Kamer waren niet of beperkt bereikbaar.

Ook bedrijven, onderwijsinstellingen en andere overheidsorganisaties nemen voorzorgsmaatregelen. De problemen raken daarmee een groot aantal organisaties die voor hun websites of online diensten gebruikmaken van PHP. Het offline halen van een website betekent overigens niet dat deze is gehackt. De maatregelen worden juist genomen om mogelijk misbruik te voorkomen zolang de beveiligingsupdate nog niet is geïnstalleerd.