Op woensdagmiddag 21 oktober waren de Franse belastingportalen en meerdere websites van prefecturen plotseling onbereikbaar. Wie deze middag probeerde documenten op te vragen, aangiftes te doen of andere formulieren digitaal te regelen, kreeg standaard een onderhoudsmelding te zien. De storing volgde direct op het aantreffen van twee ernstige zwakke plekken in de software die door verreweg de meeste websites wordt gebruikt.
Achtergrond: oorzaak en wereldwijde context van de kwetsbaarheid
Nieuw onderzoek wijst uit dat het beveiligingsincident zijn oorsprong vindt in kritieke kwetsbaarheden in PHP, de programmeertaal die naar schatting circa 70% van alle websites wereldwijd aandrijft. De kwetsbaarheden zijn in augustus ontdekt, mede door inzet van geavanceerde AI-modellen. Volgens het Franse nationale CERT (CERT-FR) kwamen deze beveiligingsproblemen boven water dankzij onder meer onderzoeken door het Wiz-team en audits van de firma Calif (gefinancierd door OpenAI).
De impact in Frankrijk was groot en breed. Het Franse agentschap ANSSI adviseerde alle getroffen servers direct offline te halen totdat de noodzakelijke beveiligingsupdates waren doorgevoerd. Door deze maatregel gingen veel publieke Franse sites preventief dicht: niet alleen belastingportalen en prefecturen, maar onder andere ook ministeries, de meteorologische dienst Météo-France en Santé publique France. In totaal zijn volgens ANSSI meer dan 600.000 servers met PHP geïdentificeerd op het Franse internet.
Grootschalige preventieve sluitingen vonden ook plaats bij bedrijven: grote dienstverlener Orange heeft tijdelijk verschillende sites, apps en diensten offline gehaald om de patches uit te rollen, waarna de heropening per stap volgde.
De Europese respons was uitzonderlijk snel en gecoördineerd. Naast het Franse CERT zijn diverse Europese instanties bij dit incident betrokken, zoals de Europese Commissie (DG CNECT), ENISA (Europese cyberveiligheidsagentschap), CERT-EU, Europol EC3 en het Europese netwerk van nationale incidentrespons-teams (CSIRT-netwerk). Zij riepen organisaties op om direct maatregelen te nemen ter bescherming tegen deze kritieke PHP-kwetsbaarheden.
Risico en gevolgen: waarom deze lekken zo ernstig zijn De kwetsbaarheden in PHP maken het voor aanvallers mogelijk om – zonder wachtwoord – op afstand instructies uit te voeren op een niet-gepatchte server. Daarmee is het niet slechts een technisch probleem: aanvallers kunnen websites aanpassen, kwaadaardige software installeren, gevoelige (klant)gegevens inzien, of servers misbruiken als springplank naar andere diensten. In sommige gevallen kunnen zelfs nog in het servergeheugen aanwezige, gevoelige gegevens uitlekken. Dit geldt vooral voor platforms die draaien op veelgebruikte systemen als WordPress, Drupal en PrestaShop en dus een breed scala aan overheids-, zakelijke en particuliere websites.
Praktische adviezen van ANSSI en experts
ANSSI raadt organisaties en technische beheerders aan om kwetsbare systemen snel te inventariseren, te updaten of – als patchen niet direct lukt – tijdelijk te isoleren, én actief te speuren naar mogelijke sporen van ongeautoriseerde toegang. Bij oudere, niet langer ondersteunde PHP-versies is een onmiddellijke migratie essentieel om blijvende risico’s te verkleinen. Zeker voor kleine organisaties of partijen met weinig technische slagkracht kan het langer duren voordat alles weer veilig is.
Update: Ook grootschalige uitval bij overheids- en gemeentelijke sites Monaco
Niet alleen in Frankrijk, maar ook in Monaco zijn woensdagavond 21 oktober diverse overheidswebsites getroffen door grootschalige uitval als gevolg van deze mondiale softwarekwetsbaarheden. Volgens een officiële mededeling van de mairie zijn niet alleen hun hoofdsite, maar ook die van het Jardin exotique, de Académie Rainier-III, het espace Léo-Ferré en het magazine Monaco Vivre Ma Ville tijdelijk buiten gebruik gesteld voor technische onderhoudswerkzaamheden. Daarnaast zijn onder meer het officiële portaal van het Palais princier, de website van de regering van Monaco en de Agency Monégasque de Sécurité Numérique (AMSN) sinds woensdagavond alleen bereikbaar met onderhoudsmeldingen.
Belangrijk voor inwoners en iemand die digitale diensten moest regelen in Monaco: zolang deze maatregelen gelden zijn online gemeentelijke diensten, waaronder administratieve handelingen, formulieren en het maken van afspraken, niet toegankelijk. De Monegaskische gemeente vraagt burgers direct telefonisch of per e-mail contact op te nemen met de betreffende diensten. Specifiek wordt gemeld dat reeds gemaakte online afspraken en gedane aanvragen bij de burgerlijke stand en nationaliteitszaken (Service d’État Civil – Nationalité) gewoon worden gehonoreerd, zonder dat een extra bevestiging nodig is.
Als reactie zijn beveiligingsupdates woensdag in allerijl doorgevoerd in beide landen. Daarmee is het risico dat gevoelige gegevens uit dossiers of lopende aanvragen konden worden ingezien of aangepast op korte termijn beperkt. Sommige sites zijn nog niet volledig bereikbaar zolang deze technische maatregelen worden uitgerold—in enkele gevallen duurt dat voort tot de volgende dag, afhankelijk van het eigen IT-beleid van de dienst of gemeente.
De gevolgen zijn direct merkbaar voor iedereen die op deze dag online belastingzaken, dossiers van prefecturen of verblijfsdocumenten probeerde te regelen. Afspraken, downloads of aanvragen moesten worden uitgesteld. Dit kan frustratie opleveren bij lopende verhuisprocedures, visumaanvragen of de verplichting tot het melden van fiscale wijzigingen, vooral voor mensen die afhankelijk zijn van deze digitale toegang. Wie zich na woensdagavond weer wil inloggen, merkt meestal dat de diensten weer geschikt en bereikbaar zijn zoals gebruikelijk. Mocht een lokaal platform langer offline blijven, dan volgt die informatie via het eigen e-loket van de betreffende dienst.
Het landelijke beveiligingscentrum (Cert-FR) raadt systemen met oudere softwareversies aan om deze niet meer te gebruiken of slechts nog losgekoppeld van het internet te draaien. Wie de site bezoekt namens een organisatie of met zakelijk beheer merkt het veiligheidsniveau per locatie of systeem. Niet overal geldt dezelfde snelheid van herstel: uitrol van beveiligingsmaatregelen verloopt bij grote instanties en in landelijke gebieden soms trager dan bij centrale departementen.
Voorlopig is er geen bewijs dat persoonlijke gegevens zijn buitgemaakt of misbruikt via het incident. Kwetsbaarheden in universeel toegepaste software leveren echter vaker vertragingen en onderhoudsstoringen op, bijvoorbeeld bij dienstverlening aan burgers en bedrijven. Daarom wordt aangeraden bij aanhoudende foutmeldingen of lang offline blijven van publieke platforms eerst de actuele status via de officiële websites te bekijken voor verdere acties.
De officiële waarschuwingen en updates rond deze veiligheidsincidenten zijn terug te vinden bij het Franse nationale beveiligingscentrum: https://www.cert.ssi.gouv.fr/. Voor Monaco volgt informatie via de nieuwssecties van de gemeentelijke en overheidswebsites.
Reacties ()
Log in om mee te doen aan het gesprek en een reactie achter te laten!