De websites van de Kansspelautoriteit (Ksa) en het Trimbos-instituut waren op 21 oktober tijdelijk niet beschikbaar. Beide organisaties meldden dat ze websites uit voorzorg offline hadden gehaald. Tijdens het alarm over PHP, de programmeertaal achter veel websites, laadde OpenOverGokken.nl om onbekende reden niet bij een controle van OnlineCasino.Amsterdam (OCA). De openbare homepages van vijftien onderzochte casinomerken waren die middag bereikbaar.
De Ksa toont op haar website een korte melding over de voorzorgsmaatregel. Trimbos verwijst naar een wereldwijd beveiligingsprobleem in websitesoftware. Beide organisaties noemen PHP niet bij naam in hun onderhoudsbericht. Het Nationaal Cyber Security Centrum (NCSC) legt dat verband voor zijn eigen website, die eveneens preventief uit de lucht is gehaald. De Ksa verwachtte later op de dag weer online te zijn. De toezichthouder noemde geen uur waarop de informatie weer beschikbaar zou komen. Bij Trimbos stond alleen dat het instituut zo snel mogelijk wilde terugkeren.
Ksa en Trimbos tonen onderhoudspagina
Wie de Ksa-site bezocht, kreeg omstreeks 16.10 uur geen nieuws of toezichtinformatie te zien, maar de tekst: “De Kansspelautoriteit heeft uit voorzorg een aantal websites offline gezet.” Een lijst van alle getroffen websites stond er niet bij. Ook het nieuwsoverzicht van Trimbos was vervangen door een tijdelijke pagina. Het instituut schrijft dat het zijn websites preventief heeft uitgezet vanwege het beveiligingsprobleem. Op de onderhoudspagina staan contactgegevens voor vragen over onder meer alcohol, drugs, gamen en mentale gezondheid.
De openbare startpagina van het Centraal Register Uitsluiting Kansspelen (Cruks) gaf tijdens de ronde informatie over de gokstop. Die pagina beschrijft hoe iemand zichzelf voor een gekozen periode kan uitsluiten van gokken bij casino’s, speelhallen en goksites met een Nederlandse vergunning.
TOTO Winkel tijdelijk offline
Nederlandse Loterij meldde op 21 oktober dat ook de website van TOTO Winkel tijdelijk niet bereikbaar is, in verband met de kwetsbaarheden in PHP. In de winkels kunnen klanten volgens het bedrijf nog wel weddenschappen plaatsen en laten uitbetalen.
Verbindingsfout bij OpenOverGokken
Bij OpenOverGokken.nl kwam in de browser rond 16.17 uur een verbindingsfout in beeld. De oorzaak van die verbindingsfout was niet bekend. OpenOverGokken is een bestemming waar spelers en hun naasten hulp kunnen zoeken. De Cruks-pagina verwijst ernaar voor gratis en anoniem advies en vermeldt het telefoonnummer 0800 24 000 22 als dag en nacht bereikbaar. De website van Stichting AGOG, voor hulp bij gokproblemen, was te openen.
Vijftien casinohomepages bereikbaar
OCA bekeek tussen 16.10 en 16.12 uur de openbare homepages van vijftien bekende casinomerken. Bij alle vijftien verscheen de normale website. Het gaat om Holland Casino Online, TOTO, Unibet, BetCity, Jacks, bet365, 711, 777, 888 Casino, Circus, Bingoal, Fair Play, BetMGM, Tonybet en LeoVegas. Bij Fair Play bevatte de homepagetekst ook een melding over drukte bij Cruks en technisch onderhoud tussen 09.30 en 10.00 uur. Die tekst bevatte geen dag of datum. De homepage was tijdens de middagcontrole bereikbaar. Gemeten is of de openbare homepage laadde. Inloggen, Cruks-inschrijvingen, telefonisch contact, stortingen, uitbetalingen en spelen zijn niet getest.
Websites van spelproviders en vakmedia bereikbaar
In een tweede ronde rond 16.12 uur waren de websites van spelproviders Pragmatic Play, Evolution en Playtech bereikbaar. Hetzelfde gold voor de concernsites van Flutter en Entain. Ook AskGamblers, SBC News, iGaming Business en CasinoNieuws leverden een normale openbare pagina op. Bij Stake, Betfair en de Nederlandse site Intikkertje kreeg de meetroute een toegangsbeperking in plaats van een normale homepage. Betfair verwees daarbij naar het land van de bezoeker of ongebruikelijk verkeer. Hun normale pagina-inhoud bleef in die meting buiten beeld.
PHP-updates zijn beschikbaar
De twee kwetsbaarheden kunnen aanvallers in staat stellen op afstand code uit te voeren zonder eerst in te loggen. Ze hebben beide een ernstscore van 9,2 op 10. Het PHP-team publiceerde de reparaties in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 en roept gebruikers op direct bij te werken. PHP verwerkt op veel websites opdrachten en gegevens op de server. Daardoor kan een fout in die onderliggende software verschillende soorten organisaties tegelijk raken. Het NCSC beschrijft in zijn waarschuwing over PHP hoe organisaties per systeem moeten afwegen of tijdelijk uitschakelen nodig is. Het centrum verspreidt informatie tijdens de eigen offlinegang onder meer via Rijksoverheid en zijn aparte advieswebsite.
In het NCSC-bericht van 13.59 uur stond dat er openbare voorbeeldcode voor misbruik beschikbaar was. Het centrum had op dat moment nog geen actief misbruik gesignaleerd. De waarschuwing was daarmee ook een oproep om voorbereid te zijn op de beveiligingsrelease van die middag.
Voor kwetsbare PHP-installaties benadrukt het PHP-team dat tijdelijke maatregelen slechts bepaalde aanvalsroutes beperken. Het installeren van de reparatie is volgens het team de volledige oplossing.
Gepubliceerd op .