LIVE "Angst was terecht", maar professor AI ziet voorlopig geen grote hacks na lekken in programmeertaal PHP 

Ook Smartschool werd gisteren offline gehaald door de ontdekte lekken bij scripttaal PHP. Het platform wordt gebruikt door de meeste scholen om de communicatie te vergemakkelijken tussen leerkrachten, leerlingen en ouders, maar ook om documenten te delen, taken te uploaden en oefeningen te maken. Tijdens de coronacrisis werd Smartschool zelfs gebruikt om les te geven.

Chaos in heel wat scholen en huishoudens dus gisteren. Is het dan misschien tijd om te overwegen over te stappen naar andere, oudere manieren van communicatie, zoals pen en papier? "Het is natuurlijk niet ideaal als je zo'n grote speler hebt die uitvalt", zegt Pedro De Bruyckere, pedagoog en directeur van het Leerpunt Vlaanderen, in VRT NWS De Wereld Vandaag. "Dan besef je hoe kwetsbaar je bent."

"Maar ik denk niet dat het nog mogelijk is om terug te keren naar oudere communicatiemiddelen. Als zijn er nog altijd goede redenen om pen en papier te gebruiken, maar dat is een andere discussie."

Als gevolg van een beveiligingslek bij scripttaal PHP zijn meerdere websites in België nog steeds onbereikbaar, nadat ze uit voorzorg offline waren gehaald. Dat was rond 9.30 uur onder andere het geval voor de site van de FOD Financiën, de stadsbesturen van Gent en Brussel, de Antwerpse ziekenhuizen AZ Monica en Klina, en het Centrum voor Cybersecurity België (CCB). 

PHP is een populaire programmeertaal om dynamische websites en webapplicaties te bouwen. Naar schatting 70 procent van de websites wereldwijd gebruikt PHP. De ontwikkelaar ervan waarschuwde dinsdag voor twee "kritieke kwetsbaarheden" in zijn code, die met behulp van kunstmatige intelligentie (AI) waren opgespoord. Daarmee zouden hackers de controle over servers kunnen overnemen.

Gisterennamiddag kwam er een beveiligingspatch om de lekken bij PHP te dichten. Het CCB raadde alle organisaties die de patch niet meteen konden installeren, aan om hun websites uit voorzorg offline te halen. Van veel organisaties die dat deden, zijn de websites intussen weer toegankelijk.

De topman van de Amerikaanse websitesbeveiligingsexpert en wereldwijde marktleider Cloudflare, Matthew Prince, meldde vannacht op sociaalnetwerksite X dat het in zijn netwerk al "miljoenen" pogingen had vastgesteld door hackers die het PHP-beveiligingslek willen uitbuiten

"Er was zeker angst gisteren, en die was terecht ook." Dat zegt Vincent Ginis, professor AI en wiskunde (VUB), daags na de grote lekken in programmeertaal PHP in VRT NWS De Ochtend. 

"De patch, zoals dat dan heet, werd met een zekere knulligheid bekendgemaakt met de wereld. De periode waarin de kwetsbaarheid publiek bekend is en nog niet opgevangen is, kan extreem gevaarlijk zijn." Hackers kunnen dan eigenlijk doen wat ze willen. 

"De meeste plekken hebben de lek geruisloos doorstaan, maar een goed uitgevoerde hack, daar heb je geen weet van", benadrukt Ginis. 

"We vinden nu kwetsbaarheden in software die echt al heel lang en heel fundamenteel in onze cybersystemen zit. Nu wij die problemen gevonden hebben, is het een kwestie van tijd voordat die kennis gedemocratiseerd is en ook anderen die kwetsbaarheden gaan vinden." 

Hij noemt de situatie bij PHP een "volgende waarschuwingsshot". "Dit soort kennis kan gebruikt worden om grote economieën aan te vallen of aan te tasten. 100 procent veilige software bestaat niet. Naarmate AI slimmer wordt, ga je steeds meer software hebben die kwetsbaar wordt." 

De website van de haven van Antwerpen-Brugge is terug online, nadat de haven enkele websites uit voorzorg offline had gehaald. Port of Antwerp-Bruges controleert verschillende websites en online platformen. Denk aan websites voor jobs of specifieke sectoren zoals chemie, platformen voor het leveren en oppikken van containers of de samenwerking met de douane.

"De websites in eigen beheer van Port of Antwerp-Bruges staan weer online", aldus een woordvoerder. "We hebben de nodige updates uitgevoerd. De websites van NxtPort en RX/SeaPort zijn in extern beheer en komen iets later terug online." 

Artificiële intelligentie (AI) is de hulp én de schuldige in de veiligheidslekken in PHP. Dat zegt AI-expert Steven Latré. De lekken stonden al 14 jaar in de codes PHP, maar zijn nu pas ontdekt door een cybersecuritybedrijf en met de hulp van AI. Latré vreest dat in de toekomst nog meer zulke lekken naar boven zullen komen. "Als een hackerscollectief dat ontdekt, zitten we met een groter probleem."

Het beveiligingsbedrijf Calif heeft een van de kritieke lekken in de programmeertaal PHP gevonden met behulp van een AI-model van OpenAI. Dat meldt OpenAI op zijn website.

Volgens OpenAI werkte een groep ontwikkelaars, onderzoekers en beveiligingsbedrijven de voorbije twee maanden onder zijn leiding aan een oplossing. Het waren de ontwikkelaars van PHP die zelf voor de beveiligingsupdate zorgden.

OpenAI noemt de lekken een van de meest ingrijpende beveiligingsproblemen van de voorbije jaren. Het bedrijf zegt dat de AI de kwetsbaarheden vond voor de aanvallers dat deden, maar waarschuwt ook dat dezelfde technologie hackers kan helpen.

De offline gehaalde websites van DPG Media zijn weer bereikbaar. Door een lek in de programmeertaal PHP werden de sites preventief van het net gehaald. Ondertussen is er een softwareupdate uitgevoerd en zijn de websites opnieuw online.

De verwachting is dat in de loop van de avond en morgen steeds meer getroffen websites opnieuw online gaan. Systeembeheerders zijn druk in de weer de veiligheidspatch uit te voeren. Sommige websites maken echter gebruik van een verouderde versie van PHP, daardoor kan de hinder iets langer aanhouden.

Er zijn momenteel nog geen meldingen dat er hackings zijn gebeurd. Dat zegt Miguel De Bruycker van Centrum voor Cybersecurity België in VRT NWS Journaal. “Hackers moeten eerst die nieuwe code omkeren om te kijken welke update gebeurd is en welk lek gedicht is. Dan pas kunnen ze software maken om dat lek te misbruiken. Nu moeten we kijken of er ergens in de wereld websites door dit lek gehackt worden en wat het risico voor ons land is."

De komende uren en dagen worden dus cruciaal. "Absoluut. Al is het moeilijk in te schatten hoelang het zal duren voordat hackers in staat zijn om in te breken in systemen en op welke systemen ze zich dan gaan richten."

Organisaties en bedrijven moeten dan ook zo snel mogelijk die beveiligingsupdate installeren. "Door AI wordt het vinden van kwetsbaarheden in systemen veel gemakkelijker. Er worden ook meer lekken gevonden dan de voorbije jaren."

"Waar men vroeger weken of zelfs een maand de tijd had om een update te installeren, is dat nu gereduceerd tot enkele dagen of zelfs enkele uren voor hackers systemen misbruiken.”

Smartschool is weer online, zowel via app als via de website. Dat bevestigt Jan Schuer van de dienst. Hij stelt dat geen gegevens zijn gestolen.

Een van de zwaarste online beveiligingsproblemen die bestaan: zo omschrijft computerwetenschapper Jeroen Baert het beveiligingslek bij de programmeertaal PHP waardoor heel wat websites uit voorzorg offline zijn gehaald. Hoewel de ontwikkelaars intussen een oplossing hebben vrijgegeven, breken enkele cruciale uren aan waarin hackers het lek nog proberen uit te buiten.

Tele-Onthaal neemt zijn website en chat vandaag uit voorzorg offline na de ontdekking van beveiligingsproblemen in veelgebruikte websitesoftware. Dat meldt de organisatie in een persbericht. "Met deze maatregel willen we de veiligheid en anonimiteit van onze gebruikers absoluut beschermen. Chatten zal vandaag niet meer mogelijk zijn."

Bellen naar het gratis en anonieme nummer 106 blijft mogelijk, dag en nacht. "Door de voorzorgsmaatregelen kunnen onze vrijwilligers momenteel wel minder telefoongesprekken tegelijk beantwoorden. Daardoor krijgen oproepers mogelijk niet meteen iemand aan de lijn."

Ook de Zelfmoordlijn is via chat niet bereikbaar. Wie met vragen zit over zelfdoding kan terecht op het gratis nummer 1813.

Awel, de hulplijn voor kinderen en jongeren met vragen of problemen, is enkel telefonisch bereikbaar. Dat meldt de organisatie aan onze redactie. 

Normaal kunnen kinderen en jongeren ook terecht via de chat op de website, maar die ligt tijdelijk plat uit voorzorgsmaatregelen. Via het gratis telefoonnummer 102 of via e-mailadres brievenbus@awel.be kan je wel nog terecht voor al je vragen.

• Openbaar ministerie

• Website van de rechtbanken

• UZ Gent

• Sint-Janziekenhuis in Brussel

• AZ Jan Palfijn

• Bij UZ Leuven is het niet mogelijk formulieren in te vullen

• Politiezone Noord-Limburg

Verschillende federale overheidswebsites zijn het afgelopen uur offline gehaald, zoals websites bij FOD Buitenlandse Zaken en FOD Financiën.

Ook de website van e-ID Belgium ligt plat. Daardoor kunnen onder meer apothekers geen voorschriften via e-ID meer ophalen.

De app en website van RTL Nieuws (DPG Media) werken weer. Dat meldt het nieuwsmedium op de website. 

"We realiseren ons dat bij zo'n gebeurtenis veel mensen juist op RTL Nieuws rekenen om op de hoogte te blijven", zegt adjunct-hoofdredacteur Alies Lindeboom.

"Betrouwbare nieuwsvoorziening stopt niet wanneer 1 platform tijdelijk niet beschikbaar is. Juist op dagen als deze is het belangrijk dat mensen toegang houden tot onafhankelijke journalistiek. RTL Nieuws bleef, zoals u van ons gewend bent, via televisie, sociale media en een liveblog verslag doen van al het nieuws."

De Belgische securityspeler NVISO grijpt de kwetsbaarheden bij de programmeertaal PHP aan om te pleiten voor een dringende mindshift bij bedrijven. Veel bedrijven hebben namelijk nog steeds geen goed zicht op welke software ze gebruiken. 

NVISO, dat onder meer het Europese Ruimtevaartagentschap ESA en de NAVO als klanten telt, stelt dat bedrijven werk moeten maken van 3 zaken: een kwetsbaarheidsprogramma om te weten op welke software het draait en onder welke versie, een softwaremanagementtool om oude systemen te identificeren en een inventaris van alle software en de interne componenten ervan

De tijd tussen het bekendraken van een kwetsbaarheid en het misbruik ervan door hackers neemt als gevolg van de opmars van artificiële intelligentie namelijk zienderogen af. "Je kan het je vandaag niet permitteren om niet te weten wat er allemaal in je omgeving draait en waar je grootste afhankelijkheden op technologisch vlak zitten", besluit Maxime Thiebaut, Digital Forensics & Incident Response Expert bij NVISO.

De verschillende websites van de FOD Buitenlandse Zaken, onder meer diplomatie.belgium.be, zijn tijdelijk offline gehaald. Dat meldt de FOD op sociale media. Hoe lang de websites offline zullen blijven, is onduidelijk.

Eerder meldde VRT NWS dat de website van VDK Bank tijdelijk offline is gehaald. In een reactie meldt de bank dat die voorzorgsmaatregel "geen enkele impact heeft op het online bankieren". 

Particuliere en professionele klanten kunnen via de app zonder problemen bankverrichtingen uitvoeren. 

Ook in het buitenland nemen overheden, bedrijven en organisaties voorzorgsmaatregelen. In Frankrijk liggen verschillende websites van lokale overheden tijdelijk plat.

De Nationale Veiligheidsdienst van de Verenigde Staten (NSA) roept alle organisaties die PHP gebruiken op om de beveiligingsupdate te installeren. "Als een onmiddellijke update niet haalbaar is, raden we aan het systeem offline te halen", klinkt het op X.

De FOD Financiën heeft uit voorzorg enkele informatieve websites offline gehaald. Het gaat om finances.belgium.be, ruling.be, de site van het Garantiefonds en geregistreerdkassasysteem.be.

Het onlineplatform MyMinfin blijft wel bereikbaar, omdat het op een andere technologie draait. Dat meldt de FOD.  

• Cycling Vlaanderen

• AZ Oostende

• AZ Sint-Jan Brugge

• Vrije Universiteit Brussel

Het Centrum voor Cybersecurity België (CCB) raadt gebruikers aan om hun website offline te halen als ze de net vrijgegeven beveiligingsupdate voor programmeertaal PHP niet meteen kunnen installeren. 

Opvallend: ook de website van het Centrum voor Cybersecurity zelf is offline als gevolg van de kwetsbaarheden met PHP. 

Ook VRT heeft preventief actie ondernomen om zich te weren tegen mogelijke cyberaanvallen. De algemene website vrt.be is tijdelijk offline. 

Andere websites van VRT, zoals VRT NWS en VRT MAX, blijven wel actief en werken niet met programmeertaal PHP. 

• Infrabel

• Port of Antwerp-Bruges

• VDAB

• VDK Bank

• Ziekenhuis Oost-Limburg

"We zijn proactief geweest en zijn op zoek gegaan naar welke van onze websites zijn geschreven met die betreffende code en we hebben die offline gehaald", meldt Vlaams minister-president Matthias Diependaele (N-VA) in VRT NWS Villa Politica.

"We weten welke fouten er precies in zitten langs waar mensen zouden kunnen inbreken, maar daarvoor zou binnen 1 of maximaal 2 uur een oplossing moeten zijn." "Het is niet zo dat er al veel aanvallen bezig waren, maar op het moment dat er gecommuniceerd wordt dat er een gaatje in de beveiliging zat, heeft dat mensen met slechte bedoelingen aangezet om aanvallen uit te voeren."

DPG Media heeft uit voorzorg besloten een aantal websites tijdelijk offline te halen. Het gaat om onder meer de sites en apps: 

• RTL Nieuws

• Tweakers

• Autoweek 

• Mijnvergelijker.be

• Autowereld.

Er zijn momenteel nog geen incidenten gemeld op de websites van DPG. "Maar onze experts houden de ontwikkelingen in de gaten", zegt woordvoerder Thijs van Soest.

Volgens Tim Verheyden, technologiejournalist bij VRT NWS,  zijn alle websites offline gehaald uit voorzorg. "Via het lek zouden hackers websites kunnen aanpassen, platleggen of gegevens kunnen stelen."

Organisaties en bedrijven nemen dus die voorzorgsmaatregelen om zich te beschermen tegen cyberaanvallen. "Het Centrum voor Cybersecurity België (CCB) meldt voorlopig geen aanwijzingen van hackings in België."

Het aantal websites dat offline wordt gehaald, blijft toenemen. De stad Gent en de hogeschool UCLL hebben hun websites offline gehaald. 

Ook het AZ Monica en het Universitair Ziekenhuis Antwerpen (UZA) hebben dat uit voorzorg gedaan. Dat bevestigt een woordvoerder van het AZ Monica.

Het platform Tablefever ligt tijdelijk plat, waardoor het momenteel niet mogelijk is om online te reserveren in een horecazaak. 

Het beveiligingsteam van programmeertaal PHP meldt dat er om 16 uur een securitypatch zal verschijnen. Dat is een softwareupdate die de programmeertaal beter moet beveiligen tegen mogelijke cyberaanvallen. 

Eerder raadde het Centrum voor Cybersecurity potentiële slachtoffers aan om die update te installeren eens die beschikbaar is.

De websites van meerdere politieke partijen in Nederland zijn offline. Onder meer de websites van regeringspartijen VVD en CDA zijn preventief offline vanwege het risico.

Ook de site van D66, de partij van de Nederlandse premier Rob Jetten, is niet bereikbaar. Daarbij staat geen reden vermeld, maar het is aannemelijk dat het door de problemen met PHP komt. 

Het Centrum voor Cybersecurity heeft potentiële slachtoffers/betrokkenen geïnformeerd over de kwetsbaarheden die werden vastgesteld in de programmeertaal PHP. Het raadt de betrokken bedrijven en organisaties ook aan om de securitypatch, die om 16 uur wordt gepubliceerd, zo snel mogelijk te installeren. Dat meldt woordvoerster Katrien Eggers. 

Het Centrum maant websites dus niet proactief aan om tijdelijk offline te gaan. "Dat is een beslissing van elk bedrijf/organisatie zelf", luidt het. Vooralsnog heeft het Centrum voor Cybersecurity geen weet van effectieve incidenten.

De Amerikaanse cyberbeveiliger Cloudflare kwam naar buiten met de kwetsbaarheden in programmeertaal PHP.  Het bedrijf, dat als firewall functioneert voor verschillende websites, probeert de pogingen om het lek te misbruiken tegen te houden. 

Meerdere grote Nederlandse websites zijn offline gehaald. Volgens meldingen op de sites is dat gebeurd "voor onderhoud", zonder de PHP-problemen te noemen.

Onder meer MijnOverheid, de tegenhanger van het Vlaamse 'Mijn Burgerprofiel', de sites van voetbalclubs FC Twente en Fortuna Sittard, politievakbond ACP, apothekerskoepel KNMP en openbaarvervoerbedrijf EBS zijn tijdelijk niet bereikbaar. Dat geldt ook voor de site van de Kustwacht.

Ahold Delhaize, het moederbedrijf van Albert Heijn, denkt niet dat de recente cyberaanval in Nederland verband houdt met PHP. "Voor zover we nu kunnen overzien, is er geen aanleiding om dit aan te nemen", zegt een woordvoerder. 

DPG Media heeft uit voorzorg besloten een aantal websites tijdelijk offline te halen. Dat meldt woordvoerder Thijs van Soest in een kort statement. Van Soest bevestigt desgevraagd dat het om een maatregel voor het hele bedrijf gaat en dat er dus zowel websites in België als Nederland zijn getroffen.

Welke websites precies offline werden gehaald, is niet duidelijk, maar de website van Tweakers blijkt alvast offline te zijn gehaald. In Nederland gaat het onder meer over RTL Nieuws. 

In de populaire programmeertaal PHP zijn twee grote lekken ontdekt. PHP wordt door meer dan 70 procent van alle websites wereldwijd gebruikt. Om een grote cyberaanval te voorkomen, zijn verschillende websites offline gehaald.