Alle Franse prefecturen, impots.gouv.fr en Météo France offline na kritieke PHP-lek

Franse media waarschuwden woensdag voor grootschalige aanvallen door een kritieke kwetsbaarheid in de programmeertaal PHP, waaronder denial-of-service-aanvallen. Dat risico was de reden waarom overheidsdiensten in heel Frankrijk hun websites preventief offline haalden.

De gevolgen waren diezelfde woensdag breed te merken. De websites van alle Franse prefecturen waren niet te bereiken, inclusief die van de politieprefectuur van Parijs. Een prefectuur is het regionale bestuursorgaan van de Franse staat. Inwoners regelen er onder meer rijbewijzen, verblijfsvergunningen en kentekens. De politieprefectuur van Parijs vervult die rol voor de hoofdstad en haar regio. Ook de site van de belastingdienst impots.gouv.fr lag plat, net als die van de weerdienst Météo France. Meerdere Franse media meldden de storing vrijwel gelijktijdig.

Achter de storing zat geen hack, maar een voorzorgsmaatregel. PHP is een programmeertaal die wereldwijd veel wordt gebruikt om websites te bouwen, ook door de Franse overheid. Veel bestaande overheidswebsites draaien al jaren op dezelfde onderliggende techniek, wat onderhoud goedkoper maakt maar ook betekent dat één kwetsbaarheid meteen veel diensten tegelijk kan raken. Na de ontdekking van de kwetsbaarheid gingen de getroffen sites preventief offline. Dat gebeurde in afwachting van een update van de softwaremaker. Zolang die update er niet was, kozen de beheerders ervoor de toegang simpelweg dicht te zetten, in plaats van de kwetsbare sites open te houden.

Dat voorzorgsprincipe hangt direct samen met het risico dat Franse media benoemden. Een kwetsbaarheid die openligt, kan worden misbruikt voordat een patch beschikbaar is. Juist in die periode achtten media het risico op grootschalige aanvallen reëel genoeg om de stekker eruit te trekken. Een denial-of-service-aanval overspoelt een server met zoveel verkeer dat die onbereikbaar wordt voor gewone bezoekers. Bij een kwetsbaarheid in veelgebruikte software als PHP kan zo’n aanval in principe veel sites tegelijk raken. Door de toegang zelf dicht te zetten, voorkwamen de beheerders dat kwaadwillenden de kwetsbaarheid konden proberen te misbruiken, nog voordat van een daadwerkelijke aanval sprake was.

Het ministerie van Binnenlandse Zaken trof die maatregel op verzoek van Anssi, het Franse nationale agentschap voor informatiebeveiliging. Anssi beschermt de Franse staat en vitale sectoren tegen cyberdreigingen. Het agentschap adviseert overheidsdiensten bij een acute kwetsbaarheid zoals deze. Het valt onder het secretariaat-generaal voor defensie en nationale veiligheid, dat rechtstreeks aan de premier rapporteert. Het ministerie zette de sites preventief in onderhoud, in afwachting van een patch van de softwareleverancier. Zolang die patch niet beschikbaar was, bleef voorkomen zwaarder wegen dan bereikbaarheid. Dat betekende voor burgers en bedrijven dat ze tijdelijk geen zaken met de overheid konden regelen via internet, van een aanvraag bij de prefectuur tot een belastingaangifte.

Voor Nederlanders en Belgen die in Frankrijk wonen of er bezit hebben, betekende de storing dat gangbare overheidsdiensten tijdelijk niet digitaal te regelen waren. Dat gold voor belastingzaken via impots.gouv.fr en voor de weerwaarschuwingen van Météo France voor reis en veiligheid. Het gold ook voor afspraken bij de prefectuur en voor wie de politieprefectuur van Parijs volgde. Wie zo’n zaak die dag digitaal wilde regelen, moest wachten of alsnog naar een loket. Wanneer de getroffen sites weer volledig online zijn, maakten de geraadpleegde media niet bekend.