PHP-lek met natie-brede gevolgen kent illustere voorgangers

Dezer dagen staat het nieuws vol met meldingen over de PHP-kwetsbaarheid. Overheids-websites zoals MijnOverheid, DigiD lagen eruit, daarnaast ook velerlei bedrijven, websites van ziekenhuizen etc. PHP is een programmeertaal die wereldwijd wordt gebruikt om websites aan te sturen. Bijna 70 procent van alle websites op het internet is afhankelijk van PHP. Dankzij PHP kan een website meer doen dan alleen tekst en afbeeldingen weergeven. PHP maakt interactie tussen de website en de websitebezoeker mogelijk. Eén van de ontdekkers van de recente PHP-kwetsbaarheden lekte zelf vroegtijdig informatie over het bestaan ervan. Daarna publiceerde een ander bedrijf vóór het verstrijken van het embargo de komende patch. Hierdoor moesten de PHP-makers vervroegd een update uitbrengen. In afwachting daarvan gingen wereldwijd talloze websites uit voorzorg offline. Dit PHP-probleem laat zien hoe kwetsbaar het gebruik van digitale applicaties is. Het is echter geenszins een uniek fenomeen, zeker niet in de zorg.

Verleden

Digitale kwetsbaarheden zijn er altijd al geweest zolang er computers zijn en zeker zolang als het internet bestaat. Als ik terug ga in de tijd zijn er sinds 2015 van de ruim 1260 artikelen van mijn hand meerdere tientallen gewijd aan digitale kwetsbaarheden.

Onder de zeer frequent voorkomende kwetsbaarheden die landelijk consequenties hebben is er éen die bovenaan staat. Dat betreft de Citrix-hard-en software, bedoeld om op afstand, bijv. vanuit huis te kunnen werken. Veelvuldig is er sprake van een kwetsbaarheid in de Citrix-software waarvoor dan weer een patch komt.. In 2025 werden systemen van het ministerie van Justitie en Veiligheid door lekken in Citrix-software gecompromitteerd. In september 2026 rammelden hackers weer aan de deur bij hetzelfde ministerie door Citrix-problemen.

Plotse onrust in 2020 door Citrix

Vanaf half december 2019 was bekend dat er een forse kwetsbaarheid zat in de software van een aantal apparaten van de firma Citrix. Door de kwetsbaarheid kon een niet geauthenticeerde indringer willekeurige commando’s uitvoeren. Sinds  9 januari 2020 was bekend dat aanvallers actief gebruik probeerden te maken van dit lek. Voor die tijd waren er nog geen kwaadwillige exploits gevonden. Op 11 januari 2020 werd duidelijk dat het kinderlijk eenvoudig was om van de kwetsbaarheid gebruik te maken. In Nederland zou het om ruim 700 via het publieke internet bereikbare Citrix ADC servers gaan. Daar zaten naast overheidsinstellingen, meerdere zorginstellingen, zorgverzekeraars ook zorgaanbieders bij. Een patch was vanaf 20 januari 2020 beschikbaar, waardoor systeembeheerders kunnen nu al maatregelen nemen.

Omdat bekend was welke overheden, bedrijven, zorginstellingen Citrix gebruikten konden cybersecurity-experts zien dat een groot aantal gebruikers de patch nog niet geïnstalleerd hadden.

Spoed-artikel

Op 13 januari 2020 kreeg ik een dringend bericht van een cybersecurity-specialist om via mijn website zorgverleners/zorginstellingen te waarschuwen met een artikel van mij over dit probleem. Op 14 januari 2020 publiceerde ik daarom razendsnel het artikel  “Systeembeheerders in de zorg: wakker worden: .Citrix-servers kwetsbaar.” Het was een oproep om de systemen met Citrix-software onmiddellijk te patchen.

Log4j(2021)

Deze software heeft als doel om digitale activiteiten te loggen. Het is JAVA-software. De afkorting zegt het al: Log4j betekent namelijk Log for JAVA. Dat JAVA  is een is een objectgeoriënteerde programmeertaal en tevens een platformonafhankelijke taal. Daarom gebruikt men het wereldwijd ook zo vaak. Apache Log4j zit ingebouwd in heel veel software. Bedrijven die software maken kunnen dat stukje software inbouwen in hun eigen product. In december 2019 bleek plotseling dat er een gevaarlijke kwetsbaarheid zat in dat stukje software.

Het probleem was echter dat veel bedrijven niet paraat hadden dat ze in hun software het stukje Apache Log4j ingebouwd hadden zitten . Er ging toen nog wat tijd overheen voor elke gebruiker van Apache Log4j door had dat ze dat ingebouwd hadden. Ook in medische systemen, zoals huisartsinformatiesystemen bleek die software te zitten. Nogal wat zorginformatiesystemen bleken kwetsbaar.

Spring Core Framework(2022)

Op 31 maart 2022 gaf het Nationaal Cyber Security Centrum(NCSC) een waarschuwing uit vanwege een kritieke kwetsbaarheid in Spring Core Framework. Dat is een veelgebruikte set van “libraries(=verzamelingen van programma-regels)” voor de programmeertaal Java. Het probleem zit in de Spring4Shell-software. Een kwaadwillende kon volgens het NCSC de kwetsbaarheid misbruiken om een willekeurige code uit te voeren. Hiermee kan toegang tot gevoelige informatie binnen die applicatie worden verkregen. Minimaal één huisartsinformatiesysteem moest hals over kop de software updaten vanwege de ingebouwde software met kwetsbaarheid.

Moraal van het verhaal

Uit het bovenstaande mag blijken dat grote verstoringen van digitale systemen, ook zorginformatiesystemen door de loop der jaren, en zeker de laatste vijf jaar, grote kwetsbaarheden hebben gekend. Kwetsbaarheden die ook de hele samenleving raakten. Bij landelijke uitval blijkt hoezeer onze wereld gedigitaliseerd is en hoe ver systemen in elkaar grijpen. Waardoor het uit de lucht halen van één systeem een cascade van effecten kan hebben.

Patches dienen door systeembeheerders ONMIDDELLIJK geïnstalleerd te worden. Daar mag de zon niet over ondergaan. Maaltijden moeten er voor onderbroken worden. Daarnaast dienen gebruikers en zeker zorgverleners alternatieve procedures te bedenken waardoor de kern van hun werkzaamheden, zij het beperkt, door kan gaan.

Goede hulpmiddelen daarbij zijn dan pen en papier.

W.J. Jongejan, 23 oktober 2026

Afbeelding van Gerd Altmann via Pixabay