Fallo de seguridad deja fuera de servicio webs en Países Bajos

MijnOverheid, DigiD, webs de hospitales y varios medios de comunicación, entre otros, han quedado temporalmente inaccesibles este miércoles 21 de octubre. Las organizaciones han retirado sus servicios como medida de precaución ante dos vulnerabilidades críticas en PHP, un lenguaje de programación que utilizan numerosas páginas de internet.

La directora del Centro Nacional de Ciberseguridad de Países Bajos (NCSC), Corine Schipper-Derkse, ha explicado que las desconexiones buscan prevenir posibles intrusiones. El organismo ha pedido a las empresas e instituciones que evalúen sus riesgos y decidan qué servicios deben suspender temporalmente.

¿Qué es PHP y por qué se desconectan las webs?

PHP es un lenguaje de programación que permite desarrollar páginas y aplicaciones web. Los problemas detectados afectan a esa tecnología, por lo que pueden repercutir en organizaciones muy diferentes que la utilizan.

El equipo responsable de PHP alertó el martes de dos fallos de seguridad con una gravedad de 9,2 sobre 10. Estas vulnerabilidades podrían permitir a personas malintencionadas acceder a servidores de forma remota y llegar a tomar su control.

La retirada preventiva de una web no significa que haya sufrido un ataque ni que se hayan robado datos. El equipo de PHP afirmaba que no tenía indicios de que se estuvieran explotando activamente las vulnerabilidades.

MijnOverheid, DigiD y otras páginas públicas, afectadas

Logius, el organismo que gestiona MijnOverheid, ha confirmado que retiró el portal por precaución. La página web de DigiD también ha quedado inaccesible.

Entre las páginas afectadas figuran además las de la Tweede Kamer, el Ministerio de Defensa, el RIVM y el propio NCSC.

La empresa NotuBiz también ha suspendido preventivamente su plataforma, utilizada por más de un centenar de administraciones locales, provinciales y organismos de gestión del agua para publicar documentación política e institucional. La compañía ha señalado que no tiene indicios de una brecha de seguridad.

Hospitales, transporte y medios de comunicación

Varios hospitales han desconectado sus páginas, entre ellos Maastricht UMC+, Jeroen Bosch Ziekenhuis en Den Bosch, BovenIJ en Amsterdam y St. Antonius en Nieuwegein.

En otros centros, las restricciones afectan únicamente a determinados servicios digitales, como los folletos informativos o las aplicaciones para pacientes. Las incidencias descritas corresponden a páginas y herramientas digitales; no permiten concluir que la atención hospitalaria esté suspendida.

Schiphol ha retirado temporalmente su aplicación, aunque mantiene disponible la web del aeropuerto. También se han registrado interrupciones en páginas de empresas de transporte, como EBS.

En los medios, RTL Nieuws ha desconectado su web y su aplicación, mientras continúa informando por televisión y redes sociales. DPG Media ha retirado además otros productos, como Tweakers y AutoWeek.

Una actualización prevista para las 16:00

El equipo de PHP ha anunciado la publicación de la actualización para este miércoles a las 16:00, hora de Países Bajos. También ha indicado que difundirá los detalles técnicos y las versiones afectadas junto con la corrección.

Esa hora no supone que todas las páginas vayan a volver a funcionar inmediatamente: cada organización deberá aplicar las medidas correspondientes y comprobar sus sistemas.

Tierras Holandesas no utiliza PHP y no está experimentando este problema. Nuestra web continúa disponible con normalidad.