In partnership with
Hey {{first_name}} 👋,
Probeerde je vandaag in te loggen bij MijnOverheid? Of wilde je even het nieuws lezen op RTL Nieuws of Tweakers? Grote kans dat je een melding kreeg dat de site niet bereikbaar was.
Ook de Tweede Kamer, het Nationaal Cyber Security Centrum en een hele rij andere organisaties gingen vandaag op zwart. Niet door een storing. En ook niet door een hack. Ze deden het zelf, uit voorzorg.
De oorzaak is een lek in software, waar een groot deel van alle websites op draait. Klinkt eng, maar je hoeft zelf vrijwel niks te doen. Wel handig om te snappen wat er gebeurde.
Duik er maar in👇
The AI notetaker that gets the hard words right
Your AI is only as good as what you feed it. Feed it a transcript with your product names, acronyms, and numbers spelled wrong, and you spend the afternoon hand-fixing the output.
Wispr Flow Notetaker uses your dictionary and calendar, so product names, acronyms, numbers, and uncommon names come out spelled right. It pops up when your meeting starts and captures Zoom, Google Meet, Teams, and Slack huddles with one click, no bot joining the call.
Then your meetings show up inside Claude or ChatGPT through the built-in connector. No copy paste. Try Notetaker free on Mac and Windows.
Wat is er aan de hand?
Het draait om één woord dat de meeste mensen nog nooit hebben gehoord: PHP. Ik probeer het zo eenvoudig mogelijk uit te leggen. Eerst de basis.
Wat is PHP?
PHP is software die op de computer van een website draait, de server. Elke keer dat jij een pagina opent, zet PHP die pagina in een fractie van een seconde voor je in elkaar.
Vergelijk een website met een restaurant. Jij ziet het bord dat op tafel komt. PHP is de keuken erachter. Die zie je nooit, maar zonder keuken geen eten.
En die keuken zit in heel veel restaurants. Zo'n zeven op de tien websites, waarvan bekend is waar ze op draaien, gebruiken PHP. WordPress, het systeem achter ongeveer vier op de tien websites, draait er ook op. Net als veel webwinkels en overheidssites.
Wat is het lek?
In PHP zijn twee fouten gevonden. Via die fouten kan een aanvaller zijn eigen opdrachten uitvoeren op de server van een website.
Om bij het restaurant te blijven: er zit een fout in het slot van de keukendeur. Wie de truc kent, loopt zo naar binnen. En kan daar dan doen wat hij wil.
Wat dan bijvoorbeeld? Gegevens uit de database halen, de website aanpassen of de server misbruiken voor andere aanvallen. Daarom is dit zo'n serieus lek.
Het lastige: de fout zit niet in één website, maar in PHP zelf. Daarom waren zoveel sites tegelijk kwetsbaar. Beveiligers geven beide lekken de hoogste risicoclassificatie die er is.
Waarom ging het vandaag zo snel?
Normaal gaat dit netjes in een vaste volgorde. Iemand vindt een lek en meldt het stil bij de makers. Die repareren het. En pas als de reparatie klaarligt, wordt het lek bekend.
Deze keer ging dat mis. Gisteren lekten de details al uit, terwijl de reparatie nog niet af was. Daarmee wist iedereen ineens dat de keukendeur open kon, ook mensen met slechte bedoelingen.
De makers van PHP planden de reparatie daarom voor vandaag 16:00.
Waarom gingen sites dicht?
Zolang het slot niet vervangen is, doe je de deur op slot. Dat is precies wat veel organisaties deden. Site even uit, update erop, site weer aan.
Voor een webwinkel of nieuwssite kost een paar uur offline gaan vaak veel geld en bezoekers. Dat ze dit toch deden, laat zien hoe serieus ze dit nemen.
Dat klinkt drastisch, maar het is verstandig. Het Nationaal Cyber Security Centrum zag op het moment van schrijven nog geen misbruik. Beveiligingsbedrijf Cloudflare meldde wel de eerste aanvalspogingen. Dan wil je als overheid niet de gok nemen.
Goed om te weten: inloggen met DigiD bij andere instanties bleef volgens Logius, de beheerder van DigiD, gewoon werken.
Waarom zitten er überhaupt fouten in software?
PHP bestaat al dertig jaar en bestaat uit honderdduizenden regels code. Daar zitten altijd fouten in. Dat geldt voor elk programma, van je telefoon tot je smart-tv.
Het verschil zit in wat er gebeurt als zo'n fout gevonden wordt. Bij PHP staat er een vast team klaar dat reparaties uitvoert. En duizenden beheerders zetten die reparatie binnen een paar uur op hun servers.
Daarom zijn updates zo belangrijk, ook op je eigen apparaten. Zo rolt Google bijvoorbeeld een maandelijkse beveiligingsupdate uit voor Android-toestellen.
Wat betekent dit voor jou?
Voor de meeste mensen valt dat gelukkig mee. Vijf dingen om te weten:
Je telefoon en laptop zijn niet het doelwit - het lek zit op de servers van websites, niet op jouw apparaten. Je hoeft vandaag niks te updaten
Je gegevens waren waarschijnlijk niet in gevaar - er is nog geen misbruik bevestigd. En juist doordat sites op tijd dichtgingen, bleef het risico klein. Mocht een organisatie later toch iets merken, dan moet die jou daarover informeren
Wees alert op mails en sms'jes over dit nieuws - oplichters springen graag op groot nieuws. Krijg je een bericht dat je "na het DigiD-lek" opnieuw moet inloggen of iets moet bevestigen? Niet op klikken. Ga zelf naar de site via je browser
Een site die weer online is, kun je gewoon gebruiken - die is in de tussentijd bijgewerkt. Daar hoef jij niks voor te doen
Heb je zelf een website? - draait hij op WordPress of andere PHP-software, vraag dan je hostingpartij of PHP vandaag is bijgewerkt. Bij de meeste hosters gebeurt dat vanzelf
Over oplichting via WhatsApp en sms ging eerder al een hele editie. Die lees je hier terug.
Tot slot
Dat DigiD en MijnOverheid een paar uur onbereikbaar waren, is vervelend. Maar eigenlijk is dit hoe het hoort te werken. Een lek wordt bekend, organisaties doen even de deur dicht, de reparatie komt, de deur gaat weer open.
Dat is geen paniek. Dat is voorzichtigheid.
Eén ding om mee te nemen: krijg je de komende dagen een bericht over dit lek met een link erin, wees dan extra kritisch.
