Wat er is gebeurd, wanneer de kwetsbaarheden zijn gevonden en waarom nu pas actie is al te vinden op diverse websites.

Maar tussen de regels staat wel weer de vraag of er niet altijd een analoog alternatief beschikbaar moet zijn (zoals in België wettelijk is vastgelegd).

Tja, dat is het gevolg van alles maar online te willen hebben. Dit probleem oplossen? Dat betekent dat je systemen nodig hebt die werken op andere software zodat je niet van één leverancier afhankelijk bent. Maar dat kost teveel geld. Terug naar vroeger is gewoon niet meer mogelijk. Houd er maar rekening mee dat dit niet de laatste keer was dat zoiets gebeurd.

Nou nou, de herstelacties zijn nog in volle gang en we staan al weer te springen om vragen te stellen en beleid en wetten aan te passen. Het zijn terechte vragen maar dat kan toch wel even wachten.

Het mooiste is dat die twee lekjes in PHP echt nergens over gaan. Weer de zoveelste memory management issues, die waren te voorkomen geweest met een memory safe programmeertaal.

Maar nee, het is makkelijker om de code snippets die de 'taal' (proest!) PHP vormen te blijven gebruiken dan iets te schrijven in een echte programmeertaal.
Mensen kiezen bijna altijd de weg van de minste weerstand, dus blijven ze bij PHP omdat ze daar de korte termijnvoordelen van zien, eerder dan dat ze kiezen voor een verstandige oplossing voor de middellange en lange termijn.

Zielig hoor.

Dat moet zijn: digid.nl, mijn.overheid.nl, overheid.nl en tweedekamer.nl.

DigiD deed het gewoon. Mijn.overheid.nl niet en dus ook de berichtenbox niet.

Hoe kortzichtig, PHP is ouder dan de meeste memory safe talen, en ja de meeste problemen zijn uiteindelijk wel te voorkomen, toch gebeurt het niet omdat het mensen werk blijft. En zelfs in memory safe talen zijn vaak ook genoeg problemen te vinden die net zo erg, al dan niet erger zijn.

Wat een zielige reactie; het ging helemaal niet om de taal, maar om de interpreter.

Triest hoor.

En aan welke programmeertaal denk je dan?
Want zoiets als Rust is wel veiliger, maar niet veilig.
Wanneer je voor 100% wilt gaan, zal je naar een functionele taal met uitsluitend niet-muteerbare data moeten gaan.
De vraag is of je dan zelfs maar 1 project van voldoende programmeurs kunt voorzien.

Zat foutje in behandelen van de multipart (zie multi upload files).
Was door AI blijkbaar gevonden, en kon je root rechten mee krijgen, zodoende de naam PHP2Shell.
Alles waar je console toegang mee krijgt wat niet de bedoeling is, is een regelrechte security probleem, dus die paar lullige lekjes zorgen voor veel kopzorgen, hoe vervelend je het ook vind.

Zoals iedereen wel weet, en zou jij ook moeten weten, is dat men altijd achter hackers aan lopen.
Met AI hebben we hopelijk meer voordeel om ze soms iets voor te zijn, maar dat is niet altijd zo.

Weer een vreemde manier van denken in Den Haag. Er is een lek geconstateerd in de software waarop een aantal overheidssites draait. Dit lek is zodanig dat 'misbruikers' bij gegevens kunnen waar ze niet bij zouden mogen kunnen.
Volgens mij is een goede reactie: haal offline tot het lek gerepareerd is. Van daaruit verder kijken.

Welke gevolgen zou het hebben gehad als de sites niet offline gehaald waren en er een serieus datalek was ontstaan?
Volgens mij is het bij wet verboden ....... maar goed, we mogen ook niet te hard rijen in de auto.

Het laat zien hoe afhankelijk we zijn geworden van IT. Nu hebben we het over websites, stel voor dat een groot stuk internetstructuur lam wordt gelegd (door bijvoorbeeld DNS verkeer te blokkeren) of complete systemen worden platgelegd.
De afhankelijk is zo groot dat je bijna een papieren aangifte in je noodpakket zou moeten hebben.

Root rechten krijg je alleen als je 't process als root hebt draaien en success met het bouwen van je website in Rust.

In de tijd toen we nog alles op papieren deden raakte er ook wel 's stukken kwijt of waren niet terug te vinden. Dat is in de digitale wereld niet heel veel anders. Alleen toen raakte er wat kwijt van één persoon ofzo en als er nu iets "kwijt" is gaat het om heel veel personen. Maar tsja, da's de digitale tijd. Als het werkt is het mooi als 't niet werkt dan heb je een issue...

Het lijkt erop dat die kamerleden vragen hoe de rijksoverheid ISO/IEC 2700x standaarden geïmplementeerd heeft.

The Day After
Wat de kranten vertelden

Algemeen Dagblad
Paniek om beveiligingslek bij PHP leek alleen in Nederland te spelen, maar nu is het ook wereldwijd Alarmfase 1


https://www.ad.nl/buitenland/paniek-om-beveiligingslek-bij-php-leek-alleen-in-nederland-te-spelen-maar-nu-is-het-ook-wereldwijd-alarmfase-1~aad89d71/



https://www.ad.nl/tech/stichting-achter-kwetsbare-programmeertaal-php-trekt-boetekleed-aan-na-horrordag-was-gevolg-van-structureel-falen~a83e029f3/

In een kort tijdbestek heeft het AD tientallen korte artikelen over het PHP-lek gepubliceerd.

Is niet waar. De php webserver (lamp) draait niet met rootrechten maar als nobody met geen rechten. Het zal ongetwijfeld wel een gebruiker connectie hebben met een database maar root nee. Waarschijnl wel onder windows (wamp).

Frappant dat de impact zo klein is! Dat was met wannacry wel anders.

Gaan we dit ook bij elk Microsoft, Oracle, Apple en Samsung update?
Dan kunnen we elke week 300.000 euro door de wc spoelen, want dat kost een gemiddelde kamervraag namelijk.
Zonde geld..

Ga eens het land regeren ofzo... Heb een visie voor de komende 5 jaar, liefst 10 jaar.. zodat we weer kunnen wonen, reizen/rijden naar werk, eten kunnen kopen en in de winter niet bevriezen.

Want een gemiddeld rijtjeshuis in een normale stad van 650.000 euro (of huurprijs van 1800) is niet te betalen, een gemiddelde auto van 60.000 euro vanwege BPM monster of batterijen is niet te betalen en 4800 euro per jaar voor een ov kaartje is ook niet te betalen.. 2 euro per kuub gas is voor de meeste ook niet op te hoesten met deug-gas uit de VS of Qatar en een 600 euro aan boodschappen per maand is ook al vaker doorsnee dan uitzondering..

En dit alles komt o.a. omdat wij de afgelopen 25 jaar niets gedaan hebben aan lange termijn politiek. Alleen maar waan van de dag onzin.. en dat is morgen al weer gisteren-nieuws..

In juni was er CVE-2026-47291 voor IIS. Toen bleef het erg stil. Het is het succes van PHP wat maakt dat dit even een heel groot probleem is.
Daar komen we wel overheen.

En gaat die zelfde overheid nu ook een zakje geld richting de php maintainers gooien

Jezus gristus het was het advies van CERT-EU en NSCS "CERT-EU advises organisations to patch affected assets immediately. Where that is not feasible, organisations should consider isolating internet-facing applications from public networks until a fix is applied and verified." wat hadden ze dan moeten doen stront eigenwijs zijn en russisch roulette spelen met hun infra?

Het gaat niet om de exploit zelf het gaat over dat de informatie te vroeg bekend is geworden waardoor elke willekeurige scriptkiddie potentieel een aanval had kunnen doen zonder kennis zonder enige belemmering.
Daarom gingen de meeste bedrijven verstandig offline. het type aanval is een uit duizenden.

We weten ook niet hoeveel werkelijk zijn aangevallen omdat de hack gebruikt kan zijn voor payload, backdoors Niet een patch maar werkelijke security audit is het enige dat een beetje zekerheid kan geven over of er meer is gebeurd bij enige infra. *En dat kost tijd* Dit kan nog maanden door etteren omdat er genoeg beheerder nog liggen te slapen met hun patch management.

Hoe domme vragen moet je wel niet stellen als kamerlid. Wat zijn de gevolgen van dat een site of dienst eruit ligt voor bezoek of gebruiker? *Dat ze niet de site kunnen bezoeken of de dienst kunnen gebruiken*
Zijn er plannen om tijdig omgevingen te beschermen? *Ja maar dan moet de patch informatie wel beschikbaar zijn voor enige exploit online openbaar staat*

Ziet u, gezien het groeiende aantal kwetsbaarheden, storingen en cyberaanvallen, aanleiding om bestaande wetten en beleid aan te scherpen? *Het zijn amerikaanse bedrijven waar deze chaos door ontstond hoe wil je dat de f met een lokale wet aanpakken*

Surprise voor gene die niet in deze wereld leven dit is onze dagelijkse kost het enige bijzondere is de volgorde van het nieuws. Heb al weer twintig voor verdere monitoring drie ervan bij PHP en verwacht met vergrootglas erop nog veel meer patching daarop. Dat PHP.net nu het boete kleed aantrekt is netjes want ja ere ging wel meer mis maar ik denk dat momenteel de hele cybersec wereld eerder Chainguard hun CEO wil bekogelen met rotte tomaten voor het niet houden aan door hun zelf overlegde release embargo wat niet per ongeluk was maar bewuste niet overlegde keuze.

Oh ik heb zeker al succes, geen downtime en draait tig keren vlugger, sneller en beter dan PHP ooit zou kunnen.
En dat ook met een app die 80.000 requests per seconden behandeld, dat zie ik PHP niet nadoen.

Uhh je kan Apache nog altijd gewoon als root draaien.
En een console jailbreak is er al vaak genoeg makkelijk te vinden, dus dat het niet waar is, is ook niet waar van jou.

‘Ik ben hier zowaar opgetogen over’, schrijft cybersecurity-expert Bert Hubert. ‘Dat de Nederlandse overheid, gemeentes en bedrijven het serieus namen. Dit in tegenstelling tot andere landen, die vandaag vermoedelijk grootschalig de sjaak zijn.’ Nederland heeft grotendeels gehandeld voordat de problemen volledig uit de hand konden lopen, licht Hubert telefonisch toe. ‘Cybersecuritybedrijven zien nu dat de aanvallen toenemen tot miljoenen per uur. Nederland heeft gisteren al grootschalig actie ondernomen, terwijl op dat moment de golf nog op gang moest komen.’

https://www.volkskrant.nl/tech/nederland-reageerde-snel-op-php-lek-mede-dankzij-de-media-volgens-deze-expert-iedereen-stond-op-scherp-voor-dit-soort-nieuws~b42480d0/

Politiek ziet ICT niet als een corebusiness van de overheid.
Tot het fout gaat, en dan worden er vragen gesteld. (dan halen ze het nieuws weer even)

Als je als politiek de samenleving zo afhankelijk maakt van ICT, dan hoort dat wel een corebusiness van de overheid te zijn/worden.

In plaats daarvan wordt er van alles uitbesteed, is er geen/weinig kennis meer "in huis", en wil de politiek weer gaan bezuinigen in het ambtenarenapparaat. Want budgetten en kosten zijn belangrijker dan veiligheid en kunde.

Politiek en ICT. Epic fail.
Misschien maar beginnen met kundige politici in de Tweede Kamer.

Probleem is dat er voor de bekendmaking van de details alleen bekend was "Hoge CVSS score, paniek!". Dan is het enige wat je kan doen aannemen dat het ook voor jouzelf opgaat en preventieve maatregelen nemen, in dit geval kwam het nagenoeg alleen neer op uitzetten.

Pas met de bekendmaking kwam er meer technische informatie waarop je kan handelen. Uit de write-ups van PHP zelf kon je opmaken dat php-fpm wel kwetsbaar was maar niet te exploiten. Dat maakt dat een deel van de installaties (in ieder geval met nginx, ook best populair) niet geraakt is en dat had ook een mogelijke weg voor mitigatie geweest in de tijd voor de release van de patch.

Het AD is dan ook geen nieuwsmedium meer maar een clickbaitfarm

Alsjeblieft zeg volkskrant die weer eens een plasje moet doen over hunzelf als media met een interview.

Van nederlandse bekendere bronnen was er maar 1 die echt heeft bijgedragen aan de situatie (tot zelf offline gingen) en dat was tweakers als zovaak als het op tech aankomt door hun lezers die terechte aanvullingen deden vanuit bekende actuele OSINT van andere internationale bronnen. De rest van algemene media zat lekker te knippen en plakken en aan de zinnen kon je vaak ook genoeg zien dat ze geen idee hadden waar ze overschreven nog de reageerders onder hun berichten. Een weef fout in de programeertaal ik crinch nog steeds bij die uitspraak door media en politiek en ieder nam het over alsof het normaalste antwoord ooit was.

Iemand hier ooit van een weeffout in de IT gehoord? ik niet ik ken wel een ontwerpfout. Maar dit was een bewust genegeerd probleem waar ze al maanden mee bezig waren om het op te lossen. Absolute PR crap van Wiz met AI hyping en bijna elke media nam het uiteraard weer over zonder due diligence.

Waar het wel heeft geholpen is het makkelijk uitleggen richting managers directie waarom x en y actie verstandig is omdat er een moord en brand plaatje werdt geschetst waar we normaliter zorgvuldige risico, impact analyse uitvoeren zoals vakgebied betaamt. Normaliter mag je eerst nog even een essay schrijven waarom dit direct patchen verstandig is.

De echte reactie snelheid heeft enkel te maken met de ITers die hun werk deden in alle lagen. We hadden hier ook zonder media aandacht op kunnen schakelen want de meeste zijn niet blind die volgen de OSINT vanuit researchers dit is zowat dagellijkse kost we hadden hier niet zonder de gene achter de fysieke knoppen nu rustiger weer gezeten.

Dus bij deze dank aan allen die hun werk deden en elke dag doen. "De ITers" Kopieer plak en papagaai gedrag echter verdiend geen lintje nog erkenning.

Ga je schamen. Niemand draait apache php als root. Waaron zou je dat willen? Omdat dat in windows gebruikelijk is?

Windows met elke maand kritiek lek hoor je ook niet. Het is geen nieuws meer een het boeit niemand ondanks al die ransomware

There isn't an easy exploit for this PHP vulnerability: https://eliastaylor.com/noexploit/

Het draait als www-data... op de meeste sites en heeft ten minste toegang tot de webomgeving en bv php config data, via dat tot bv de databases achter de site etc. Er kan vast meer dan ongeveer niets.
Daarnaast kan er mogelijk onderzoek gedaan worden in de omgeving...