Minister Van Weel verwacht vaker kwetsbaarheden met grote impact zoals de PHP2Shell-lekken, mede door AI-ontwikkelingen die het vinden en misbruiken versnellen.
Kwetsbaarheden met grote impact, zoals de recente PHP2Shell-lekken in PHP, zullen in de toekomst vaker voorkomen. Dit stelde minister Van Weel van Justitie en Veiligheid tijdens een wetgevingsoverleg in de Tweede Kamer. Hij reageerde op vragen van Kamerleden over de monitoring en communicatie rondom deze kwetsbaarheden.
JA21-Kamerlid Van den Berg vroeg waarom er sinds 23 oktober geen nieuwe openbare update over het PHP-lek was verschenen en hoe wordt gegarandeerd dat overheidsorganisaties tijdig worden geïnformeerd over nieuwe dreigingen en noodzakelijke maatregelen. De minister gaf aan dat kwetsbaarheden inherent zijn aan software en dat de opkomst van AI het eenvoudiger maakt om deze te ontdekken en te misbruiken. Dit vereist een snellere reactie dan voorheen. In het geval van de PHP2Shell-kwetsbaarheid was er een periode waarin de kwetsbaarheid publiek bekend was voordat er een patch beschikbaar was, wat acute actie noodzakelijk maakte.
Het Nationaal Cyber Security Centrum (NCSC) heeft in deze situatie doelgroepenberichten uitgegeven en organisaties geadviseerd hun websites tijdelijk offline te halen. Veel organisaties, inclusief het NCSC zelf, hebben dit gedaan. Tegelijkertijd werd een statische website opgezet om essentiële informatie en verwijzingen naar alternatieve digitale kanalen beschikbaar te houden. Na het uitbrengen van de patch kwam het NCSC snel weer online en brachten organisaties hun diensten via verschillende sectoren weer in de lucht.
Minister Van Weel benadrukte dat de overheid verantwoordelijk is voor het beschikbaar stellen van juiste informatie en handelingsperspectieven, maar dat de verantwoordelijkheid voor het beveiligen van systemen bij de individuele organisaties blijft. Deze aanpak is cruciaal om adequaat te kunnen reageren op kwetsbaarheden die in software worden gevonden, zoals bij PHP.
