Kritieke PHP-lekken leggen Slowaakse overheidswebsites plat

De ontwikkelaars van de programmeertaal PHP kondigden deze week twee kritieke beveiligingslekken aan. Al op woensdag werden pogingen tot misbruik door hackers gemeld. Vrijwel meteen daarna kwam een beveiligingsupdate uit. Gebruikers wordt dringend aangeraden die direct te installeren. Het Nederlandse Nationaal Cyber Security Centrum bevestigt de kwetsbaarheden in eigen beveiligingsadviezen.

PHP is al decennialang een van de meest gebruikte programmeertalen voor websites. De taal draait onopvallend op de achtergrond van bedrijfssites, webwinkels en overheidsportalen; de meeste bezoekers merken er zelf nooit iets van. Twee media noemen 400 tot 500 miljoen aangedreven websites, waaronder alle sites die op WordPress draaien. Een derde medium spreekt in plaats daarvan van ongeveer 70 procent van alle websites wereldwijd. Een lek in zo’n wijdverspreide taal raakt daardoor in één keer een groot deel van het internet, overheidssites inbegrepen.

Volgens SK-CERT, het nationale cyberveiligheidscentrum van Slowakije, schortte de Ambtswoning van de Regering (Úrad vlády, het hoofdkantoor van de regering) woensdag uit voorzorg meerdere elektronische overheidsdiensten op. Daaronder vielen het Centraal Register van Contracten, waarin overheidsinstanties hun contracten openbaar moeten publiceren, en het Centraal Register van Projecten. De maatregel volgde rechtstreeks op een waarschuwing van SK-CERT over de kritieke PHP-kwetsbaarheden.

Ook de website van het ministerie van Binnenlandse Zaken ging woensdag preventief offline. Na beveiligingsupdates was de site dezelfde dag weer volledig functioneel. De storing duurde volgens één medium ongeveer een uur. Daarnaast viel ook de website van de staatsspoorwegmaatschappij ZSSK tijdelijk uit. Eén medium meldt dat ook sites van het ministerie voor Investeringen, Regionale Ontwikkeling en Informatisering waren getroffen; dat ministerie is verantwoordelijk voor digitalisering van de overheid.

Slowakije stond niet alleen. Meerdere Europese landen namen woensdag uit voorzorg eigen overheidswebsites offline nadat de kritieke PHP-lekken bekend werden. Media melden preventieve sluitingen in Frankrijk, Nederland en België. Ze noemen daarnaast ook Duitsland en Finland.

Volgens SK-CERT dragen de twee lekken de kwetsbaarheidsnummers CVE-2026-109618 en CVE-2026-109619. Het centrum omschreef de situatie, aldus een Slowaaks medium, als zeer urgent. Het Nederlandse Nationaal Cyber Security Centrum publiceerde eigen beveiligingsadviezen over diezelfde twee kwetsbaarheden. Ook andere landen reageerden: nationale cyberveiligheidsdiensten van onder meer Nederland en Canada publiceerden eigen adviezen. Ze riepen organisaties op updates te installeren. Eén Slowaaks medium meldt dat ook autoriteiten in onder meer de Verenigde Staten, Australië en Japan organisaties opriepen om direct te updaten of de website anders offline te halen.

Voor Nederlanders en Belgen die in Slowakije wonen of er zaken regelen, betekent dit vooral één ding. Digitale overheidsdiensten als het Centraal Register van Contracten kunnen de komende dagen opnieuw tijdelijk onbereikbaar zijn. Instanties controleren en werken hun systemen een voor een bij, zoals eerder al gebeurde met de website van Binnenlandse Zaken, die na de update snel weer bereikbaar was. Wie met de Slowaakse overheid communiceert via zo’n onlinedienst, houdt er rekening mee dat een pagina soms pas na een update weer bereikbaar is. Dat geldt ook voor wie zaken doet met overheden in Frankrijk, Nederland, België, Duitsland of Finland.