Onderwijs hard getroffen door lek in PHP

De gisteren vastgestelde kwetsbaarheden in programmeertaal PHP, hebben ook het (hoger) onderwijs geraakt. Universiteiten, onderzoeksinstellingen en onderwijsorganisatie SURF schakelden uit voorzorg websites en diensten uit. Inmiddels zijn de meeste websites weer bereikbaar, waaronder die van Tilburg University.

Uit voorzorg offline

De aanleiding is de ernstige PHP-lek die gisteren werd geconstateerd. Volgens de landelijke berichtgeving gaat het om twee lekken in PHP, een programmeertaal waarop veel websites draaien. Kwaadwillenden kunnen via de kwetsbaarheden mogelijk eigen code uitvoeren op getroffen systemen. Daarmee ontstaat het risico dat zij verder binnendringen en gebruikersgegevens buitmaken.

Niet alleen onderwijsinstellingen grepen in. Ook MijnOverheid, DigiD, de Tweede Kamer, RTL en Tweakers namen systemen of websites offline. Zelfs het Nationaal Cyber Security Centrum en de Autoriteit Persoonsgegevens haalden hun websites uit de lucht. Die voorzorgsmaatregelen betekenen overigens niet dat deze organisaties daadwerkelijk zijn gehackt.

Hoger onderwijs

In het hoger onderwijs maakten onder meer universiteiten in Tilburg, Delft, Eindhoven en Nijmegen hun websites tijdelijk onbereikbaar. Onderzoeksorganisaties NWO en KNAW deden hetzelfde. Ook onderwijsmedia werden geraakt, waaronder Profielen, Bron, Vox, Ad Valvas, DUB, Mare en UKrant. Daar bleef het niet bij.

SURF sloot bepaalde diensten af om de risico’s te beperken. Ook inlogvoorziening SURFconext was tijdelijk niet beschikbaar. Het netwerk van SURF bleef wel intact, een belangrijk onderscheid voor instellingen die via deze organisatie internetten.

Voor docenten en studenten kan een onderbroken inlogdienst problemen opleveren. Een digitale toepassing kan nog functioneren, terwijl toegang via de gebruikelijke route ontbreekt.

Over daadwerkelijk misbruik liepen de berichten uiteen. Cloudflare meldde aanvalspogingen, terwijl het NCSC in haar berichtgeving nog geen actief misbruik had waargenomen. Het dringende advies was om PHP bij te werken zodra de beveiligingsupdate beschikbaar kwam.

Volgens de regionale bron waren Tilburg University en Univers sinds woensdagavond weer online. Daarmee is het bredere risico niet verdwenen. Beveiligingsexperts waarschuwen dat achterstallige updates systemen nog lang kwetsbaar kunnen houden.