Meer dan vijftig gemeentelijke websites zijn mogelijk nog kwetsbaar voor cyberaanvallen vanwege verouderde PHP-software. Dat blijkt uit onderzoek van BNR, dat ruim negenhonderd gemeentelijke websites heeft gecontroleerd. Ook websites van ministeries en provincies lopen mogelijk nog risico, ondanks de beveiligingsupdates die woensdag beschikbaar kwamen.
Tientallen gemeentelijke websites nog kwetsbaar na groot PHP-lek
Onderzoek van BNR wijst uit dat meer dan vijftig gemeentelijke websites mogelijk nog kwetsbaar zijn. De VNG benadrukt de urgentie.
BNR gebruikte voor het onderzoek de beveiligingstools Assetnote en Nuclei, die vrijwel dezelfde resultaten opleverden. In de meeste gevallen gaat het niet om de hoofdwebsites van overheidsorganisaties, maar om afzonderlijke pagina's over bijvoorbeeld asielzaken, duurzaamheidssubsidies en toerisme. BNR heeft de betreffende websites gedeeld met het Nationaal Cyber Security Centrum (NCSC) en de Vereniging Nederlandse Gemeenten (VNG), maar maakt de adressen niet openbaar om mogelijk misbruik te voorkomen.
De resultaten betekenen overigens niet dat alle aangetroffen websites daadwerkelijk kwetsbaar zijn. Volgens ethisch hacker Bart van Bodegom van Orange Cyberdefense kunnen de scanners ook verouderde informatie gebruiken, waardoor onterecht kwetsbaarheden worden gesignaleerd. Wel is het volgens hem belangrijk dat beheerders controleren welke PHP-versie hun servers gebruiken.
Gemeenten moeten zelf afweging maken
De VNG benadrukt dat gemeenten zelf moeten bepalen welke beveiligingsmaatregelen noodzakelijk zijn. Volgens de gemeentekoepel beschikken zij over de informatie en adviezen van het NCSC om updates door te voeren. 'Zij zijn zich bewust van de urgentie en werken hard om de risico's zo snel mogelijk weg te nemen. De Informatiebeveiligingsdienst van de VNG ondersteunt gemeenten hierbij', aldus de VNG tegenover BNR.
Het NCSC adviseert organisaties met klem om beschikbare beveiligingsupdates zo snel mogelijk te installeren. Het centrum onderzoekt daarnaast of de kwetsbaarheden daadwerkelijk door aanvallers zijn misbruikt. Volgens het NCSC kan de situatie snel verergeren.
Kamervragen over offline halen websites
De bevindingen volgen op een grootschalige verstoring van overheidswebsites afgelopen woensdag. Onder meer DigiD, MijnOverheid, Overheid.nl en de website van de Tweede Kamer werden tijdelijk offline gehaald vanwege twee ernstige kwetsbaarheden in PHP. Op dat moment circuleerde al informatie over de beveiligingsproblemen, terwijl updates nog niet beschikbaar waren. Via de zogenoemde PHP2Shell-kwetsbaarheden kunnen aanvallers onder bepaalde omstandigheden op afstand schadelijke code uitvoeren.
Later op woensdag kwamen beveiligingsupdates beschikbaar, waarna veel websites weer bereikbaar werden. Websites die nog op oudere, niet-ondersteunde PHP-versies draaien, kunnen echter kwetsbaar blijven als zij niet naar een ondersteunde versie overstappen.
PRO-Kamerlid Barbara Kathmann heeft inmiddels schriftelijke vragen gesteld aan minister David van Weel van Justitie en Veiligheid. Ze wil onder meer weten welke overheidswebsites offline zijn gehaald, welke gevolgen dat had voor burgers en organisaties en of er aanwijzingen zijn dat kwaadwillenden misbruik hebben gemaakt van de kwetsbaarheden.
Ook vraagt Kathmann of de overheid voldoende voorbereid is op vergelijkbare situaties en of bestaande wetgeving en beleid moeten worden aangescherpt. De minister heeft drie weken de tijd om de vragen te beantwoorden.
Plaats als eerste een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.