Een dienst waarmee gemeenten, provincies en waterschappen officiële mededelingen publiceren, is woensdag uit voorzorg offline gehaald. De aanbieder, NotuBiz, nam de maatregel na een waarschuwing over kwetsbaarheden in de programmeertaal PHP. Als gevolg daarvan waren onder meer de officiële berichten van de gemeenten Smallingerland en Súdwest-Fryslân, de provincie Fryslân en Wetterskip Fryslân niet bereikbaar.
Breed telraamwerk raakt informatievoorziening
NotuBiz zegt dat de uitval een voorzorgsmaatregel is en dat er geen aanwijzingen zijn voor een daadwerkelijke veiligheidsinbreuk. Tegelijkertijd waarschuwt cybersecuritybedrijf Clouflare dat sommige organisaties al worden geconfronteerd met de eerste aanvallen op systemen die gebruikmaken van kwetsbare PHP-versies. Ruim honderd lagere overheden maken gebruik van het NotuBiz-platform om officiële berichten met raadsleden, Statenleden en het publiek te delen.
Naast Friese instanties werden ook meerdere gemeenten elders in Nederland getroffen, waaronder Den Haag, Almere, Breda, Haarlem en Den Bosch. NotuBiz heeft nog geen tijdspunt genoemd waarop de diensten weer volledig beschikbaar zijn.
Achtergrond en eerdere incidenten
Dit is niet het eerste voorval waarbij Friese overheden hun openbare berichten via NotuBiz tijdelijk niet openbaar konden maken. In juni vorig jaar lagen vergelijkbare diensten plat na wat toen volgens betrokken partijen waarschijnlijk een DDoS-aanval was. Destijds duurde het herstel enige tijd en was er discussie over weerbaarheid en alternatieve communicatiemogelijkheden.
- Wat is getroffen: officiële berichtgeving via NotuBiz
- Aantal gebruikers: ruim 100 lagere overheden
- Friese getroffen partijen: gemeenten Smallingerland en Súdwest-Fryslân, provincie Fryslân, Wetterskip Fryslân
- Voorzorgsmaatregel: uitzetten van de dienst na waarschuwing voor PHP-kwetsbaarheden
Voor bewoners en raadslieden betekent dit dat actuele raadsinformatie, besluiten en mededelingen tijdelijk niet via het gebruikelijke kanaal te raadplegen zijn. Voor fracties en bestuursorganen kan dat gevolgen hebben voor de toegang tot stukken en voor de snelheid van besluitvorming.
| Gegrepen partij | Type |
|---|---|
| Smallingerland | Gemeente |
| Súdwest-Fryslân | Gemeente |
| Provincie Fryslân | Provincie |
| Wetterskip Fryslân | Waterschap |
| Den Haag, Almere, Breda, Haarlem, Den Bosch | Gemeenten elders in Nederland |
Praktische gevolgen en advies
Voor inwoners die behoefte hebben aan officiële informatie raden de getroffen overheden aan alternatieve kanalen te gebruiken. Dat kunnen gemeentelijke websites, telefoondiensten of socialmediakanalen van de betreffende instanties zijn. Omdat NotuBiz zelf aangeeft dat de maatregel preventief is, is de verwachting dat er geen datalekken zijn, maar volledige zekerheid daarover ontbreekt nog.
Lokale bestuurders en ambtenaren staan voor de taak om de informatievoorziening naar bewoners zoveel mogelijk intact te houden. Dat vraagt vaak om tijdelijke omleidingen van publicatieprocessen en extra communicatie met betrokken fracties en raadsleden over de beschikbaarheid van stukken.
De uitval onderstreept het belang van redundante communicatiesystemen bij overheden en van actuele patch- en updatebeleid voor veelgebruikte softwarecomponenten zoals PHP. Eerder incidenten laten zien dat diensten die voor veel gemeenten centraal worden aangeboden, kwetsbaar kunnen zijn voor zowel technische problemen als gerichte aanvallen.
NotuBiz heeft aangegeven te werken aan herstel en onderzoek naar de impact. Tot dat proces is afgerond blijft onduidelijk wanneer alle diensten volledig zijn hersteld en welke maatregelen worden genomen om herhaling te voorkomen.
