Kwetsbaarheden met een grote impact, zoals de recente PHP2Shell-lekken in PHP, zullen in de toekomst vaker voorkomen, zo stelt minister Van Weel van Justitie en Veiligheid. De bewindsman reageerde tijdens een wetgevingsoverleg in de Tweede Kamer op vragen van Kamerleden. Zo wilde JA21-Kamerlid Van den Berg weten hoe de monitoring van kwetsbaarheden is geregeld. "Waarom is er sinds 23 oktober geen nieuwe openbare update verschenen over het PHP-lek? Hoe wordt ervoor gezorgd dat overheidsorganisaties tijdig over nieuwe dreigingen en noodzakelijke maatregelen worden geïnformeerd?"

Minister Van Weel reageerde dat de samenleving kwetsbaarheden, zoals die bij PHP, in de toekomst nog wel vaker zal zien. "Dit is inherent aan software." De bewindsman wees ook naar het gebruik van AI, waardoor het eenvoudiger is geworden om kwetsbaarheden te vinden en misbruiken. "Dat vraagt om een grotere snelheid in de omgang met dit soort constateringen. Je kunt je niet meer de luxe permitteren om, zoals hier wel is gebeurd, dit een aantal weken van alle kanten te gaan bewonderen alvorens te komen met een patch. In dit geval is de kwetsbaarheid naar buiten gekomen voordat de patch er was. Daardoor werd er een moment gecreëerd dat vroeg om acute actie."

De minister merkt op dat het Nationaal Cyber Security Centrum (NCSC) in het geval van de PHP-kwetsbaarheden met 'doelgroepenberichten' is gekomen en organisaties heeft geadviseerd om te kijken of ze hun website niet offline moesten halen. "Een heleboel organisaties hebben dat ook gedaan, inclusief het Nationaal Cyber Security Centrum zelf, trouwens. Ook die site is offline gedaan. We hebben wel gezorgd voor een statische website waarop in ieder geval de informatie te vinden was die mensen nodig zouden kunnen hebben of om te verwijzen naar alternatieve digitale kanalen."

Nadat de patch verscheen was het NCSC zelf weer vrij snel online. "Via de verschillende sectoren hebben organisaties zichzelf weer online gebracht. Ik denk dat dat de kern is van hoe het moet werken: wij moeten als overheid zorgen dat de juiste informatie over dit soort kwetsbaarheden en het handelingsperspectief dat organisaties daarbij hebben beschikbaar komt, zodat mensen weten wat te doen, maar uiteindelijk kunnen we natuurlijk nooit de verantwoordelijkheid overnemen voor al die organisaties in Nederland die kwetsbaar kunnen zijn op basis van zo'n kwetsbaarheid in de software", aldus Van Weel.