Deense minister noemt PHP-lek achter sluiting Aula en DMI 'wereldwijde gebeurtenis'

Minister Lisbeth Bech-Nielsen (SF, Socialistisk Folkeparti) noemde de kwetsbaarheden in de programmeertaal PHP woensdag een wereldwijde gebeurtenis. Ze is in Denemarken verantwoordelijk voor Samfundssikkerhed en Beredskab, digitale veiligheid en civiele bescherming. Volgens de minister kan de situatie zeer ernstig worden als systeembeheerders geen beveiligingsupdate doorvoeren. Kan een update niet snel genoeg, dan adviseerde zij om de getroffen systemen offline te halen.

Haar waarschuwing kwam op precies de dag dat twee veelgebruikte Deense overheidsdiensten uit voorzorg dichtgingen. Kombit, het IT-samenwerkingsverband van de Deense gemeenten, meldt dat het schoolcommunicatieplatform Aula en de website van weerinstituut DMI woensdagmiddag 21 oktober volledig offline zijn gehaald. Reden was een mogelijk technisch veiligheidsrisico. Ook de website van de gemeente Kopenhagen en andere gemeentelijke systemen, waaronder bibliotheeksystemen, gingen uit voorzorg plat. Op het moment van sluiten wist Kombit nog niet wat de precieze oorzaak was en kon het niet zeggen wanneer de diensten weer online zouden zijn.

Voor gezinnen met kinderen op een Deense school of kinderopvang is Aula het platform waarmee personeel, ouders en leerlingen in heel Denemarken met elkaar communiceren, van huiswerk tot oudergesprekken. Het wordt beheerd binnen Kombit. Kombit is de IT-samenwerking van alle Deense gemeenten en bouwt gezamenlijke systemen zoals Aula, zodat niet elke gemeente apart software hoeft te laten maken. DMI, Danmarks Meteorologiske Institut, is de nationale Deense weerdienst waar inwoners weerswaarschuwingen checken, bijvoorbeeld bij storm of hoogwater.

Pas later op de dag werd duidelijk wat er precies aan de hand was. De Styrelsen for Samfundssikkerhed (SAMSIK), de Deense autoriteit die overheden en bedrijven adviseert over digitale weerbaarheid, waarschuwde voor twee kritieke kwetsbaarheden in PHP. PHP is een veelgebruikte programmeertaal voor websites, webshops en portalen. Daardoor kunnen aanvallers zonder speciale gebruikersrechten willekeurige code uitvoeren op kwetsbare servers. Er zijn beveiligingsupdates uitgebracht voor alle ondersteunde PHP-versies. Wie nog niet kan updaten, wordt aangeraden het systeem offline te zetten. Kombit bevestigde dat het om dezelfde kwetsbaarheden gaat die woensdag tot de sluiting van Aula en DMI.dk hebben geleid.

Het probleem bleef niet beperkt tot Denemarken. Dansk Industri meldt dat in meerdere landen overheden, publieke instellingen en bedrijven woensdag hun website preventief offline haalden vanwege dezelfde PHP-kwetsbaarheden. Cybersecurity-expert Jeppe Engell van Dansk Industri, de koepelorganisatie van Deense bedrijven, zei dat de twee kwetsbaarheden meer dan tien jaar onopgemerkt bleven. Ze werden pas ontdekt via kunstmatige intelligentie. Vergelijkbare sluitingen deden zich die dag onder meer voor in Noorwegen, Finland, Nederland, Frankrijk en Duitsland. Ook in Australië en Japan kwamen waarschuwingen. Engell riep bedrijven en overheden met PHP-oplossingen op meteen te updaten.

De oproep van de minister om snel te updaten of anders offline te gaan, geldt dus niet alleen voor Aula en DMI. Ze geldt voor elke Deense organisatie die op PHP draait.