Duizenden websites plat, maar Fontys bleef online
Door het grote PHP-lek van vorige week gingen duizenden websites urenlang uit voorzorg offline. De site van Bron zat daar ook tussen, die van Fontys Hogeschool niet. Dienst IT legt uit waar dat aan ligt.
Het lek in programmeertaal PHP, waar volgens een medewerker van PressPage zo’n 70 procent van alle websites ter wereld mee zijn gebouwd, leidde woensdag tot veel problemen. Duizenden sites gingen offline, waaronder ook sites van de overheid, DigiD en PressPage. De site van Bron werkt ook middels PressPage en werd daarom tijdelijk uit de lucht gehaald.
“Dat gebeurde rond 14.00 uur en heeft een paar uur geduurd”, zegt een medewerker van PressPage. “We deden dat uit voorzorg omdat er een grote PHP-kwetsbaarheid was. De sites gingen offline zodat we de updates van PHP uit konden voeren en we geen risico’s zouden lopen. Nadat de updates klaar waren, hebben we geen verdere problemen ondervonden.”
Geen aanleiding
De publieke site van Fontys Hogeschool maakt geen gebruik van PHP en hoefde daarom niet offline te worden gehaald. Er was geen aanleiding om de website uit voorzorg buiten gebruik te stellen en Fontys ondervindt voor zover bekend ook geen gevolgen van deze kwetsbaarheid, zegt een woordvoerder namens de dienst IT. “Daar waar systemen mogelijk geraakt konden worden, zijn de benodigde beveiligingsupdates uitgevoerd.”
De reden waarom Fontys in tegenstelling tot het overgrote deel van het online bestaan geen gebruik maakt van PHP, is omdat ‘er is gekozen voor een ander platform dat beter aansluit op de rest van de IT-omgeving van Fontys'. “Dat betekent niet dat dit platform per definitie veiliger is. Elke technologie kent kwetsbaarheden. Goed beheer, tijdige updates en actieve monitoring zijn daarom belangrijk om risico's te beperken.”
Op andere websites waar Fontys mee werkt, kon hier en daar wel hinder ondervonden worden. Zo sloot SURF bijvoorbeeld ook bepaalde diensten af. “Gebruikers van de SURF-diensten FileSender en ShareKit konden op de betreffende dag wel tijdelijk hinder ervaren doordat deze diensten uit voorzorg niet beschikbaar waren. Daarnaast is de website van de Fontys-medewerkerskaarten en Fontys-studentenkaarten door de leverancier tijdelijk offline gehaald.”
Ernstige gevolgen
Volgens de dienst IT kunnen organisaties het risico bij een dergelijk lek verkleinen door systemen actueel te houden, beveiligingsupdates snel door te voeren, regelmatig op kwetsbaarheden te testen en systemen goed te monitoren. En wat als het niet voorkomen kan worden, hoe ernstig kunnen de gevolgen dan zijn? “In het ernstigste geval kunnen aanvallers toegang krijgen tot systemen of gegevens."