Websites van over de hele wereld, die de programmeertaal PHP gebruiken, hebben het dringend advies gekregen om uit voorzorg offline te gaan vanwege kwetsbaarheden.
Wij volgen dit advies ook op en zetten alle websites, inclusief de internetafsprakenmodules en DASH, offline.
We houden jullie via deze nieuwsbrief op de hoogte
De websites zijn nog steeds offline. We wachten op de beveiligingsupdate voor PHP. Die verwachten we in de loop van vandaag. Zodra de update beschikbaar is, installeren en controleren we die en geven we een nieuwe update.
Update: zo zetten we de websites weer online
Hoe de situatie precies in elkaar zit, is nog niet bekend. Daarom kunnen we nog niet zeggen hoe en wanneer alles is opgelost. Wel weten we hoe we te werk gaan zodra de beveiligingsupdate voor PHP beschikbaar is. We zetten de websites en applicaties dan stap voor stap weer online, samen met onze hostingpartner Cobytes.
Zo pakken we het aan
Zo weten we zeker dat uw website veilig en betrouwbaar online komt. Hoeveel tijd dit kost, hangt af van het moment waarop de update verschijnt en van wat de controle oplevert.
Update: de beveiligingsupdate wordt geïnstalleerd
De beveiligingsupdate voor PHP is beschikbaar. Onze hostingpartner Cobytes is nu bezig om die te installeren.
Wat zijn de volgende stappen?
Na de installatie testen we de systemen. Vinden we geen afwijkingen, dan zetten we de websites weer online. Hoe laat dat precies wordt, kunnen we nu nog niet zeggen. Alle updates delen we hier op de Powwow
Hoe gaat het met de testen? al n update of tijdsverwachting?
haha zie het al precies toen ik dit postte ging onze site live! Thanks!
Hoi Astrid, heel goed. alles is nu aan het opstarten. er volgt zo een nieuwsbrief
Ha, alles weer live. !
Goed om te horen Harry.
Wij (Zeist) nog niet, klopt dat?
Dat kan kloppen Lenette. De deployement is om iets na 18.00 gestart en we zien nu al een aantal websites live gaan. Maar het kan even duren voordat alles klaar is. Als alle gemeenten weer live staan stuur ik er nog een nieuwsbrief uit.
Update: publieke websites weer online, afsprakenmodule en DASH volgen snel.
We hebben de PHP-update geïnstalleerd. Tot nu toe zijn er geen aanwijzingen dat via de kwetsbaarheden misbruik is gemaakt van websites. Dat melden de PHP Foundation, de organisatie achter PHP, en de overheidsinstanties voor cybersecurity in Nederland (NCSC) en de Verenigde Staten (CISA).
De publieke websites zijn weer online. We houden ze de komende dagen extra in de gaten op verdacht gedrag en we onderzoeken de logbestanden.
Internetafspraken en DASH volgen op korte termijn. In deze modules staan persoonsgegevens. Daarom controleren we deze extra zorgvuldig voordat we ze weer online zetten. Zodra ze weer beschikbaar zijn, sturen we een update.
In de komende dagen laten we jullie weten wat er vandaag is gebeurd, welke acties we hebben uitgevoerd en welke afwegingen we daarbij hebben gemaakt.
Ook nog even een compliment voor jullie: Wat hebben jullie gisteren in de middag de 404 pagina netjes ingericht. Super!
Ja inderdaad! Dat was heel mooi. Een professionele verademing tussen alle lelijke 404’s 
Alle websites en de module voor internetafspraken van OpenGemeenten zijn weer online en veilig beschikbaar.
In deze post lees je wat er gisteren is gebeurd en wat we hebben gedaan.
Wat was er aan de hand?
Gisteren werden twee ernstige beveiligingslekken bekend in PHP, de programmeertaal waarmee onze websites en die van een groot deel van het internet werken. Het Europese cybersecurityteam CERT-EU waarschuwde dat websites die niet gepatcht waren mogelijk offline moesten. Daarom hebben we ons platform uit voorzorg tijdelijk uitgeschakeld. Als het om de veiligheid van jullie gegevens en die van inwoners gaat, nemen we het zekere voor het onzekere.
Wat hebben we gedaan?
Zodra de beveiligingsupdate beschikbaar was, heeft onze hostingpartner Cobytes die geïnstalleerd. Daarna hebben we de systemen getest en de diensten stap voor stap weer online gezet. Eerst de publieke websites, daarna de applicaties met persoonsgegevens.
Status
Hoe verder?
Een intern team onderzoekt de logbestanden om na te gaan of er vóór de update verdachte activiteit is geweest. Tot nu toe hebben we geen aanwijzingen gevonden dat gegevens zijn ingezien of gelekt. De komende dagen houden we alle systemen extra in de gaten.
Communicatie
Ook ons nieuwsbriefsysteem Laposta draait op PHP en was daarom gisteren niet beschikbaar. We zijn daarom overgestapt op dit communityplatform Powwow, dat geen PHP gebruikt. Boven dit bericht zijn alle updates van gisteren nog terug te lezen. We hebben zoveel mogelijk mensen ook persoonlijk benaderd, maar misschien heeft niet iedereen alle updates gezien.
Hebben jullie vragen? Neem dan gerust contact met ons op.
Kun je ook gegevens achterhalen van hoe vaak onze url’s zijn benaderd in de offline periode?
Dat is dan in de tijd dat jullie de mooie 404-pagina online hebben gezet. Via Siteimprove kan ik die bezoekgegevens niet direct zien.
Hoi Harry,
We zijn nu nog bezig met herstel werkzaamheden. We denken dit vanochtend volledig afgerond te hebben.
Daarna gaan we onze focus leggen op onderzoek. We nemen daar jou vraag in mee.