# PHP: alles over gebruik, de bugs, de update(s), AI-invloed, 'codesmell' en volgende slachtoffers

An episode of [De Grote Tech Show | BNR](https://invisiblenetwork.ai/podcast/667453866), 22 Oct 2026, 49 min.

Audio: https://traffic.omny.fm/d/clips/8257a063-6be9-42fa-b892-acd4013b1255/4783529f-c040-4eae-add9-ade100d0fd38/f66610cb-ab9c-4f4a-b816-b4eb00c6c390/audio.mp3?utm_source=Podcast&in_playlist=db7cdc14-332e-4c30-b676-ade100d12d02

PHP, drie letters waarvan we nooit hadden verwacht er een volledige De Grote Tech Show-aflevering aan te wijden. Maar door de kwetsbaarheden, die vroegtijdig gelekt waren na recent onderzoek van OpenAI, Google's divisie Wiz en Calif, gingen gisteren overal websites preventief offline. Ook na het uitbrengen van een update is het gevaar nog lang niet weken. Hoe ver strekken de gevolgen daarvan, nu nog en de komende tijd? Wat is de invloed van AI op dit dossier (in meerdere opzichten)? En wat is codesmell? Onafhankelijk tech-expert Bert Hubert is te gast bij Joe van Burik en Ben van der Burg om daar uitgebreid over te vertellen. Vragen, opmerkingen of suggesties? Mail ons! Op: degrotetechshow@bnr.nl De Grote Tech Show De Grote Tech ShowTech verandert onze wereld, in De Grote Tech Show (DGTS) hoor je hoe. Joe van Burik en Ben van der Burg spreken met innovatieleiders en analyseren de techwereld, van AI tot cybersecurity en social media tot quantumcomputers. Techpodcast De Grote Tech Show (DGTS) is dé techpodcast (en radioshow) voor iedereen die technologie en innovatie echt wil begrijpen. Over AI (of: kunstmatige intelligentie), chips, cloud, cyberveiligheid, social media, quantum en entertainment. Hier hoor je hoe technologie de wereld verandert en wat dat betekent voor bedrijven, investeerders en iedereen in de samenleving. Bij DGTS krijg je de analyses, inzichten en interviews die ertoe doen. Met diepgaande gesprekken en scherpe analyses brengen we de belangrijkste technologische ontwikkelingen in kaart. Innovaties Elke week spreken we kopstukken in de techwereld: ceo's, hoogleraren, ondernemers en investeerders die werken aan de innovaties van morgen. Wat betekenen de nieuwste AI-modellen voor werk en creativiteit? Hoe blijven Europese startups concurreren met het nog altijd machtige Silicon Valley en het ondoorzichtige China? Dit zijn geen oppervlakkige interviews, maar diepgaande gesprekken waarin we de hoofdrolspelers spreken die écht impact maken. De technologische revolutie is in volle gang en beïnvloedt elk aspect van ons leven—van de manier waarop we werken en communiceren tot de geopolitieke machtsverhoudingen. Daarom brengen we niet alleen de technologische kant in beeld, maar ook de economische en maatschappelijke implicaties ervan. Naast de grote innovaties kijken we naar de bedrijven die deze ontwikkelingen vormgeven. Wat is de strategie van big tech-bedrijven zoals Google, Apple, Microsoft en Meta? Hoe verandert de concurrentiestrijd tussen Nvidia, AMD en Intel de chipmarkt? Wat betekenen nieuwe wetten en regels in Europa en de VS voor de toekomst van technologie? Analyses Daarnaast hoor je bij De Grote Tech Show, exclusief als extra podcast elke week, hoe Joe van Burik en Ben van der Burg de week in tech doornemen. Ze analyseren het laatste nieuws, plaatsen de ontwikkelingen in perspectief en geven scherpe inzichten over wat er écht speelt. Van de doorbraken in AI / kunstmatige intelligentie en de opkomst van nieuwe sociale mediaplatformen tot de impact van geopolitieke spanningen op de halfgeleiderindustrie. Regelmatig schuift een gast uit het netwerk aan om extra expertise te bieden en het debat te verdiepen. Door de combinatie van journalistieke scherpte, technische kennis en een kritische blik ontstaat een programma dat verder gaat dan de headlines en technologie in een bredere context plaatst. AI Of het nu gaat om de risico’s en kansen van AI-technologie of de positie van Europa in de wereldwijde technologische concurrentiestrijd, De Grote Tech Show biedt de achtergrond, de nuance en de inzichten die nodig zijn om deze ontwikkelingen echt te begrijpen. Dit maakt het programma onmisbaar voor professionals in de techsector, beleggers die strategische beslissingen willen nemen en iedereen die wil weten welke innovaties onze toekomst vormgeven. Met de combinatie van exclusieve interviews, deskundige duiding en een kritische kijk op innovatie biedt DGTS een unieke mix van diepgang en actualiteit. Over de…

## Transcript

[0:00] Speaker 1: De grote techshow wordt mede mogelijk gemaakt door Orange Cyber Defense.
[0:05] Speaker 1: Van strategie tot uitvoer, jouw cybersecurity in vertrouwde handen.
[0:09] Speaker 2: Ben, wat is nu de grootste digitale ramp uit de geschiedenis?
[0:12] Speaker 3: De PRP-ramp van afgelopen week die we voorkomen hebben, dus
[0:14] Speaker 3: dat werd er niet. Nee, het is de
[0:16] Speaker 2: grootste
[0:17] Speaker 3: bijna digitale
[0:18] Speaker 2: ramp
[0:18] Speaker 3: Ik dacht aan de WannaCry in 2017, kan je je
[0:21] Speaker 3: nog herinneren waarom? Toen werden heel veel ziekenhuizen in Engeland geraakt.
[0:26] Speaker 3: En ik vind als dus... Echt mensen worden geraakt. Logistieke systemen.
[0:31] Speaker 3: Dat is vervelend. Je kan geen benzine meer tanken of
[0:35] Speaker 3: diesel tanken
[0:36] Speaker 2: Ik dacht aan de CrowdStrike update van
[0:39] Speaker 3: Windows. Maar dat is niet doden. Dat operaties worden uitgesteld.
[0:44] Speaker 3: En dat was met WannaCry. Dus die vond ik...
[0:53] Speaker 2: Maar dat is toch geen hack. Dat is gewoon bewust.
[0:56] Speaker 2: Ik vraag, wat is de grootste digitale ramp van de
[0:59] Speaker 2: burger
[0:59] Speaker 3: Oh, digitale ramp. Ik denk gelijk aan cybercrime. Ik vraag
[1:02] Speaker 2: digitale
[1:03] Speaker 3: ramp.
[1:03] Speaker 2: Defineer.
[1:04] Speaker 3: Oké, algoritmische tijdslijnen. Ik denk dat dat op dit moment
[1:08] Speaker 3: de grootste ramp is. Dat is wel een ramp in
[1:11] Speaker 3: slowmotion overigens
[1:11] Speaker 2: In
[1:11] Speaker 3: slowmotion, maar dan kun je ook weer boetes geven. Gaan
[1:14] Speaker 3: we het ook over hebben? Ja,
[1:15] Speaker 2: zo komt het toch allemaal weer samen. Goed dat je
[1:25] Speaker 2: luistert naar de grote techshow. Tech verandert onze wereld. Hier
[1:28] Speaker 2: hoor je hoe. Ik ben Joe van Buurik. En ik
[1:29] Speaker 2: ben Ben van den Burg. Ben, draait jouw website eigenlijk
[1:31] Speaker 2: op PHP? Ja. Oh, dus jij was ook offline? Alles
[1:35] Speaker 3: offline. En nu? Dan gewoon wachten,
[1:37] Speaker 2: joh. Ja, werkt het weer? Het is allemaal niet zo belangrijk.
[1:39] Speaker 2: Mensen kunnen jou nu niet bereiken. Moeten ze het doen? Oh, heerlijk.
[1:42] Speaker 2: Dan moeten ze een bericht sturen via de PNR-app. Dan
[1:44] Speaker 2: komt het ook aan bij jou indirect. Dus dat kan.
[1:47] Speaker 2: Maar we moeten het vooral hebben over PHP. En heel uitgebreid.
[1:50] Speaker 2: Want als het gaat om het ontdekken, het lekken... en
[1:52] Speaker 2: de gevolgen van die kwetsbaarheden in PHP... hoe zit dat
[1:56] Speaker 2: nou allemaal? Is het echt zo ongekend? Hoe ver strekken
[1:58] Speaker 2: de gevolgen daarvan nu nog en de komende tijd? Daarover
[2:02] Speaker 2: en toegegeven over weinig anders... gaan we uitgebreid praten in
[2:05] Speaker 2: deze toch wel speciale editie van DGTS. In de grote
[2:13] Speaker 2: techshow een interview met leiders in digitale innovatie. Uit binnen-
[2:16] Speaker 2: en buitenland. En deze week de oprichters van Nadi. Want
[2:20] Speaker 2: dat Nationaal Agentschap voor Disruptieve Innovatie is nu ruim een
[2:22] Speaker 2: maand een feit. Wat doen ze daar? Wat gaan ze
[2:25] Speaker 2: doen met die nu toegezegde half miljard euro? Dat hoor
[2:27] Speaker 2: je allemaal in dat gesprek. Dus luister het vooral terug.
[2:30] Speaker 2: Want er zitten hele interessante takeaways bij. Als we praten
[2:32] Speaker 2: met Jelle Prins en Bo Anacchilla. Nu dan, drie letters
[2:35] Speaker 2: die deze week de hele wereld hebben opgeschud. Terwijl en
[2:38] Speaker 2: omdat ze al decennia een cruciale backbone van het internet vormen.
[2:42] Speaker 2: Van websites met name, PHP, daar hebben we het over.
[2:45] Speaker 2: De kwetsbaarheden die daarin ontdekt werden met de update die
[2:47] Speaker 2: al onderweg was... maar voortijdig gelekt werden. En ja, dat
[2:50] Speaker 2: was een lastige situatie. De technische analyse over verleden, heden
[2:54] Speaker 2: en toekomst... die gaan we over enkele minuten bespreken. Maar Ben,
[2:57] Speaker 2: eerst nog even, hoe beleven we dit nou met elkaar
[3:00] Speaker 2: als zoiets gebeurt? Hectiek.
[3:02] Speaker 3: Totale hectiek. Vragen. Behoefte
[3:06] Speaker 2: aan duiding
[3:07] Speaker 3: Iedereen valt over elkaar heen. Ik vond het wel fijn.
[3:11] Speaker 3: Er werd gelijk al heel veel bekend. Dat vond ik
[3:14] Speaker 3: wel leuk. Dat is heel erg, maar het is ook spannend.
[3:18] Speaker 2: Het is een semi-gecontroleerde katastrofe, zal ik maar zeggen. Er
[3:23] Speaker 2: werd iets gecommuniceerd, er kon gehandeld worden. Het overkwam ons wel,
[3:29] Speaker 2: maar het is niet dat het misging en ons overkwam. Wow,
[3:33] Speaker 2: de Tweede Kamer.nl offline. Wow, DGD offline
[3:36] Speaker 3: Wow, RTL gaat straks offline. Tweakers offline. Tweakers offline
[3:40] Speaker 2: Als Tweakers
[3:41] Speaker 3: als eerste offline gaat, dan weet je
[3:42] Speaker 2: dat het
[3:43] Speaker 3: erg is. Continu had je dat. En dan moet je
[3:46] Speaker 3: niet over verbaasd zijn. Dat
[3:47] Speaker 2: snap
[3:47] Speaker 3: ik ook wel. Maar toch bracht dat heet het weer arousal.
[3:50] Speaker 2: Ik vind het ook heel mooi, even een klein beetje navolstarig...
[3:53] Speaker 2: maar dat mag in een situatie als deze, dat we...
[3:55] Speaker 2: BNR.nl bleef wel online, maar de back-end was offline... want
[3:58] Speaker 2: dat draait op Woodwing, en daar zit ook PHP in.
[4:01] Speaker 2: Maar gelukkig had, shout-out naar onze collega Sanne... die had
[4:03] Speaker 2: nog net de scherpte om op de online redactie te zeggen... nee,
[4:07] Speaker 2: dat PHP is toch wel belangrijk. Joe heeft er net
[4:08] Speaker 2: wat over geroepen in de tech-update. Met dank aan de
[4:11] Speaker 2: gasten die we hier al in de studio hebben. Daar
[4:12] Speaker 2: gaan we toch maar vast even een artikel over schrijven.
[4:14] Speaker 2: Dat had ze nog net gepubliceerd, en poef, de back-end
[4:17] Speaker 2: was weg. Uiteraard. Dus zo hebben we dat toch maar
[4:19] Speaker 2: even gecheft. En wat zegt u nou over hoe we
[4:21] Speaker 2: dit ook met elkaar bespreken... in de media en in
[4:23] Speaker 2: het land? En misschien ook aan de
[4:26] Speaker 3: wereld. Nou, wat ik heel goed vind en heel mooi vind...
[4:29] Speaker 3: de urgentie. Iedereen valt er overheen. Weet je, jij gisteren
[4:35] Speaker 3: bij Nieuws van de Dag, tien minuten.
[4:37] Speaker 2: Ja, openingsshow
[4:38] Speaker 3: Nieuwsuur. Eva gisteren. Dus iedereen. Dus mainstream media. Het is
[4:43] Speaker 3: niet van, oh ja, daar was een hekje. Logisch, als
[4:45] Speaker 3: de Tweede Kamer.nl eruit ligt en DigiD... we gaan nu
[4:49] Speaker 3: echt snappen, er is iets fundamenteel aan de hand. Wat
[4:52] Speaker 3: ik hoop, Joe... Maar dat zal wel weer niet zo zijn.
[4:55] Speaker 3: Het is een hele rare vergelijking, maar hij popte op,
[4:58] Speaker 3: dus ik moet hem toch noemen. We hebben de watersnoodramp
[5:01] Speaker 3: op 1 februari 1953 in Nederland gehad. En dat was
[5:05] Speaker 3: zo heftig, er vielen zoveel doden, nu dan niet. Maar
[5:07] Speaker 3: het was zo dat we de deltawerken begonnen. En iedereen
[5:10] Speaker 3: voelde urgentie, we moeten iets doen. Ja, maar nu hebben
[5:13] Speaker 3: mensen alleen een dag geen pakketjes kunnen laten
[5:15] Speaker 2: bestellen. Nee, maar
[5:16] Speaker 3: ik hoop, en misschien is dit niet het moment, maar
[5:19] Speaker 3: er gaat... in de digitale wereld, want daar begon je mee,
[5:22] Speaker 3: dan moet bijna een breekpunt zijn, een decisive moment, waarbij
[5:28] Speaker 3: we gaan beseffen, jongens, nu moet er echt iets gebeuren.
[5:33] Speaker 3: En ik heb het mij al verteld, maar even niet hier.
[5:37] Speaker 3: Ik was van de week bij Elastic en daar vond
[5:39] Speaker 3: ik een hele mooie vergelijking.
[5:40] Speaker 2: Ja, waar we de CEO Eskil Karni vorig jaar nog
[5:42] Speaker 2: leuk over hebben gesproken in de grote techshow.
[5:44] Speaker 3: En die vertelde de hele tijd van... de aanvallers nu,
[5:48] Speaker 3: dat is op machinespeed worden we aangevallen... en alle infrastructuren
[5:54] Speaker 3: worden continu aangevallen. En hij zegt... en de verdediging, dat
[6:00] Speaker 3: is mensenspeed. En dat verlies je dus op dit moment altijd.
[6:04] Speaker 3: En dat moet veranderen. Dus dat vond ik een hele goeie.
[6:08] Speaker 3: En wij hebben volgende week in de grote techshow...
[6:11] Speaker 2: Ja, je mag
[6:11] Speaker 3: alvast teasen
[6:13] Speaker 3: We hadden Job van der Voort van Remote. Ja, dat
[6:16] Speaker 3: gesprek hebben we alvast opgenomen. En die vertelde ook dat
[6:20] Speaker 3: hij een model had van OpenAI... die dus zijn infrastructuur
[6:24] Speaker 3: getest heeft op kwetsbaarheden. En hij zegt zo... Daar kwam
[6:28] Speaker 3: echt zo uit. En hij vertelde, mag ik niet openbaar maken...
[6:31] Speaker 3: wat het ook kostte om dat te testen. Best wel
[6:35] Speaker 3: een bedrag. Maar dit is dus interessant. Dus er zijn
[6:39] Speaker 3: bedrijven die krijgen die hele geavanceerde modellen... die heel veel
[6:42] Speaker 3: geld kosten om te testen. Daar zit overal kwetsbaarheid in.
[6:45] Speaker 3: En nu gaan we dat dus allemaal zien. Er moet
[6:48] Speaker 3: nu iets gebeuren. Ik hoop dat het bewustzijn er is
[6:51] Speaker 3: dat er echt iets moet gebeuren.
[6:52] Speaker 2: Ik had verschillende dingen op mijn bingo-kaart staan voor 2026...
[6:55] Speaker 2: maar niet dat we een paradigm shift in cyberveiligheid zouden krijgen...
[7:01] Speaker 2: omdat AI zo hard wordt ontwikkeld.
[7:04] Speaker 3: Het was eigenlijk, als we een beetje door hadden gedacht, logisch.
[7:08] Speaker 3: Het zat in 25 draad.
[7:10] Speaker 2: Ja, maar letterlijk het begin van dit jaar was het
[7:12] Speaker 2: nog een beetje afdoen. Als in van, ja, is het
[7:14] Speaker 2: echt zo? En nu zien we het dus gewoon gebeuren.
[7:17] Speaker 2: Ja
[7:18] Speaker 3: maar goed, Job van der Voort zei ook, dat horen
[7:20] Speaker 3: jullie allemaal volgende week. Ja, vanaf januari, toen de Asians
[7:24] Speaker 3: echt kwamen, toen Mittels kwam, boem.
[7:27] Speaker 2: Nou, ook daar was nog wel eventjes een curve, maar
[7:29] Speaker 2: die curve is nu behoorlijk snel geworden. Nou ja, maar goed,
[7:31] Speaker 2: toen ging
[7:31] Speaker 3: het snel,
[7:32] Speaker 2: hè
[7:32] Speaker 3: En dan zie je gelijk weer, oh zo boeiend, het
[7:34] Speaker 3: geopolitieke element, Mieters blijft in Amerika, mag dat in
[7:37] Speaker 2: Europa? Ja, nee, dat zit er ook allemaal vast. Nee,
[7:39] Speaker 3: nee, maar dit is, Joe, dat moet je niet wegwijven. Nee, nee, nee, nee.
[7:42] Speaker 3: Dit is essentieel. Ja. En die consequenties zien we dus
[7:47] Speaker 3: iedere dag nu
[7:48] Speaker 2: Ja, nou goed, we gaan zometeen uitgebreid, zeer uitgebreid, heel uitgebreid,
[7:52] Speaker 2: nog uitgebreider, praten over PHP na deze boodschappen. En nu
[7:57] Speaker 2: dus maar dat echt uitgebreide gesprek over PHP. De kwetsbeden daarin,
[8:00] Speaker 2: de update daarvoor... en bovenal hoe dit alles heeft kunnen gebeuren...
[8:04] Speaker 2: en wat ons nog te wachten staat. Die uitgebreide technische
[8:08] Speaker 2: analyse doen we uiteraard met de enige man... die ons
[8:10] Speaker 2: daar echt alles over kan vertellen. Onze favoriete beroepsnerd, onze
[8:14] Speaker 2: favoriete echte tech-expert... onze favoriete kenner van alles wat samenhangt
[8:18] Speaker 2: met digitale systemen... vooral cyberveiligheid en digitale soevereiniteit, Bert Hubert. Hallo.
[8:24] Speaker 2: Nou Bert, ben je ooit
[8:26] Speaker 4: grote aangekondigd? Nee, dit is wel echt over de top
[8:29] Speaker 4: Maar dank jullie
[8:31] Speaker 2: wel. Jij hebt een hoop meegemaakt. We zaten al te
[8:34] Speaker 2: filosoferen in onze redactiesignal. 40 jaar dat jij je nu
[8:37] Speaker 2: met computers bezighoudt. Ja
[8:39] Speaker 4: dat is helaas wel waar. En waarvan 29 jaar al
[8:43] Speaker 4: ik wel eens PHP heb gebruikt. Nou, kun
[8:45] Speaker 2: je nagaan.
[8:45] Speaker 4: Dus het zit al enigszins in de haarvaten wel. Ja.
[8:49] Speaker 4: En ja, dit is een heel bijzonder moment.
[8:51] Speaker 2: Ja, is dit nou ook echt een ongekende situatie wat
[8:53] Speaker 2: jou betreft? Wat we met PHP hebben gezien de afgelopen
[8:55] Speaker 2: pak een beetje 36 uur
[8:56] Speaker 4: Ja, dat is best wel ongekend. Met name omdat het
[9:00] Speaker 4: dus een... Eén, we dus ontdekt hebben in hoeveel dingen
[9:02] Speaker 4: PHP wel niet zit. En dat toch meer dan iedereen dacht.
[9:06] Speaker 4: Als je mij had gezegd, zit er PHP in DigiD?
[9:08] Speaker 4: Dan had ik gezegd, nee, dat kan ik me niet voorstellen.
[9:10] Speaker 4: Maar
[9:10] Speaker 2: het bleek zo te zijn. Maar 70% is met name WordPress.
[9:17] Speaker 4: Wordpress is
[9:18] Speaker 5: een van de
[9:18] Speaker 4: belangrijkste blogging engines van de wereld. En ook website engines
[9:21] Speaker 4: van de wereld. En daar draai je echt tientallen miljoenen
[9:24] Speaker 4: sites op. Dus die 70% is van het aantal website naampjes.
[9:28] Speaker 4: Niet zozeer van het aantal bezoekers, maar het is wel
[9:30] Speaker 4: een heel groot ding natuurlijk. We
[9:33] Speaker 2: hebben het over 70% van de websites van de wereld.
[9:35] Speaker 2: Ik heb jou horen zeggen bij BNR op de radio,
[9:38] Speaker 2: apparaten bij mensen thuis, bij instanties. Waarom zit PHP op
[9:43] Speaker 2: zoveel plekken?
[9:44] Speaker 4: Ja, dat is het gekke. PHP is een beetje... Zelfs
[9:47] Speaker 4: al toen het begon werd het gezegd dat het niet
[9:49] Speaker 4: echt professioneel was. Een soort rubberen elastiek wat overal
[9:54] Speaker 2: inzetbaar is
[9:54] Speaker 4: Een soort do-it-zelf
[9:55] Speaker 1: oplossing
[9:56] Speaker 4: En ook toen ze ermee begonnen was het ook echt zoiets...
[9:58] Speaker 4: want dan kon je dus midden in een webpagina... kon
[10:01] Speaker 4: je een stukje programmacode zetten die iets ging doen. En
[10:03] Speaker 4: die zat dan midden in die webpagina. En daarvan toen
[10:06] Speaker 4: ook al zeiden allerlei professionals... nee, die webpagina is voor webdesigners...
[10:09] Speaker 4: en programmeren is voor programmeurs. En die twee dingen moet
[10:12] Speaker 4: je niet bij elkaar samen stoppen... want dan krijg je
[10:14] Speaker 4: webdesigners die gaan programmeren... of erger, programmeurs die gaan webdesignen.
[10:18] Speaker 4: Dus aan het begin af aan was het al een
[10:20] Speaker 4: beetje amateuristisch. Ook de eerste programmeurs daarvan waren ook echt
[10:23] Speaker 4: behoorlijke YOLO-figuren. Die hadden zoiets van, kijk nou wat voor
[10:27] Speaker 4: een cools ik gebouwd heb. En toen ik er in
[10:29] Speaker 4: 1997 mee begon, sprak dat mij eigenlijk wel aan op
[10:32] Speaker 4: een bepaalde manier. Want
[10:33] Speaker 3: de
[10:34] Speaker 4: serieuze programmeurs toen waren bezig met Java Enterprise Beans. En
[10:39] Speaker 4: dat is het minst leuke manier van programmeren ooit. Een PHP, werkelijk,
[10:43] Speaker 4: je kan in drie minuten... heb je een werkende site.
[10:45] Speaker 2: Ja, ik weet nog, toen ik Nintendo Hobby Sites maakte...
[10:48] Speaker 2: als ik niet bouwde, ik schreef er artikelen voor in 2004, 2005...
[10:51] Speaker 2: werd ook met PHP de website gemaakt door de
[10:53] Speaker 4: jongens die dat konden. En wat er toen gebeurd is,
[10:55] Speaker 4: ontzettende hoeveelheden mensen... was dat hun gateway drug, hun eerste
[10:59] Speaker 4: geprogrammeerde website. En daardoor stonden er tientallen miljoenen mensen... die
[11:04] Speaker 4: daar handig mee waren... En vervolgens moet iemand een keer
[11:07] Speaker 4: voor zijn firewall doosje... ook een user interface maken. En
[11:11] Speaker 4: die denkt, nou, ik ben wel handig met PHP. Gratis.
[11:15] Speaker 4: Gaan we doen. En zo in de afgelopen 29, 30 jaar...
[11:19] Speaker 4: is PHP dus terechtgekomen in alles... inclusief dus ook netwerkbeveiligingsapparatuur.
[11:26] Speaker 2: Gewoon omdat dat handig gevonden werd. Ja, het is wel handig.
[11:29] Speaker 2: Maar het is ook efficiënt
[11:31] Speaker 4: bijvoorbeeld.
[11:31] Speaker 2: Dus als je
[11:31] Speaker 4: een klein apparaatje hebt... daar zit geen monsterlijk goede processor in.
[11:35] Speaker 4: Dus daar moet iets kleins en efficiënts in... zodat hij
[11:38] Speaker 4: een beheersinterface heeft
[11:40] Speaker 4: Nou, dan... de kantoorautomatiseringsmensen zouden een complete Java-stack uitrollen. Maar één,
[11:46] Speaker 4: die is duur. En twee, die past niet in jouw firewall-apparaatje.
[11:49] Speaker 4: Dus PHP ligt dan geweldig voor de hand. En ook
[11:52] Speaker 4: omdat er al heel veel libraries voor waren. Top, gewoon
[11:56] Speaker 4: in mijn mening doorgaan. En als je dus nu kijkt, dan...
[12:00] Speaker 4: Dus modems ook, dus Ziksel, OPN, PF Sense en allerlei NAS'en...
[12:06] Speaker 4: waar mensen dus bestanden op slaan, dat is allemaal PHP. Heerlijk.
[12:10] Speaker 4: En het spannende is nu, kijk, deze week toen dat
[12:13] Speaker 4: PHP-geval uitbrak... we kunnen echt applaus voor onszelf... Iedereen heeft
[12:19] Speaker 4: dezelfde dag actie ondernomen. Dus de helft van alle gemeentewebsites
[12:23] Speaker 4: lag er gisteren uit. Dat zijn geen IT-voorlopersgemeentes. Maar we
[12:27] Speaker 4: hebben die mensen bereikt. En ik zeg even
[12:29] Speaker 2: we
[12:30] Speaker 4: Nederland heeft dus een heel goed ecosysteem hiervoor. En daarom
[12:33] Speaker 4: was het op de radio en op televisie... in vier
[12:36] Speaker 4: programma's tegelijkertijd... Waaronder Lubach.
[12:39] Speaker 2: Ik kreeg ook de vraag in de voorbereiding op de
[12:41] Speaker 2: televisietoestanden hierover. Gebeurt dit alleen in Nederland? Ik zei nee,
[12:45] Speaker 2: dit is internationaal. Maar in Nederland zijn we blijkbaar zo
[12:48] Speaker 2: ver digitaal dat we dit goed oppakken.
[12:50] Speaker 4: Vannacht heeft de Financial Times en de New York Times
[12:52] Speaker 4: erover geschreven. En in Nederland waren we al klaar.
[12:55] Speaker 2: We hadden
[12:56] Speaker 4: voor de verandering een keer voorloopt
[12:57] Speaker 2: We
[12:57] Speaker 4: hebben een hele goede pijplijn van obscure berichten in security
[13:03] Speaker 4: forums naar mainstream tv.
[13:06] Speaker 2: Daar moet ik jou ook wel een rol in toedichten.
[13:08] Speaker 2: Want jij tipt ons dan, hey jongens, hier moeten we
[13:10] Speaker 2: iets mee doen. Kijk, die
[13:11] Speaker 4: pijplijn die loopt door de mensen die goed opletten op internet.
[13:14] Speaker 4: En dan journalisten die zeggen, nou oké, als deze jongen
[13:16] Speaker 4: dat zegt... dan zal het wel nieuws zijn. En terwijl
[13:19] Speaker 4: in andere landen zitten... Ik word nu ook vrij veel
[13:22] Speaker 4: gebeld uit België, want daar zitten ze nu al wel.
[13:24] Speaker 4: We
[13:25] Speaker 3: zitten nu in de gaten. Maar mogen we even terug
[13:27] Speaker 3: naar die... Want kijk, op zich is het natuurlijk niet
[13:29] Speaker 3: zo bijzonder. Iedereen weet, er zitten overal kwetsbaarheden in. Dus
[13:32] Speaker 3: we wisten al heel lang, daar zit een kwetsbaarheid in. Ja.
[13:35] Speaker 3: Het gaat natuurlijk om hoe je met die kwetsbaarheden omgaat.
[13:39] Speaker 3: En daar is een en ander niet goed gegaan. Kunnen
[13:43] Speaker 3: we een beetje vanaf het begin een postmortem maken... van
[13:46] Speaker 3: wanneer het begon, die kwetsbaarheid 2024, zoals ik heb onderzocht.
[13:50] Speaker 3: Daar werden de eerste signalen en hoe dat is opgepakt...
[13:53] Speaker 3: en welke momenten we allemaal hebben
[13:55] Speaker 4: Nou, wat er al veel eerder is het zo... Je
[13:58] Speaker 4: hebt een fenomeen, ik ga een klein stapje terug doen.
[14:00] Speaker 4: Een fenomeen dat heet codesmell. Codesmell, zeg maar stinkende programmeercode. Ja, mooi.
[14:05] Speaker 4: En soms zie je in een computerprogramma, kijk je naar
[14:08] Speaker 4: de broncode... en denk je, ja, ik zie de bug
[14:10] Speaker 4: nog niet, maar ik ruik hem wel. En ik weet gewoon,
[14:14] Speaker 4: iemand hier, dit is zo precair. Dit is zo gevoelig,
[14:18] Speaker 4: zo fragiel geprogrammeerd. Ik weet dat als iemand hier ergens
[14:21] Speaker 4: in plaats van... kleiner dan 1 neerzet, kleiner... of gelijk
[14:25] Speaker 4: aan één, dan weet ik, dan is het al mis.
[14:27] Speaker 4: Dus het zijn vlijmscherpe randjes. Men had al veel eerder
[14:31] Speaker 4: dan 2024 al gezien van ja, deze code is echt
[14:34] Speaker 4: wel levensgevaarlijk. Jong leren met cirkelzagen. En als je daar
[14:40] Speaker 4: heel goed in bent, dan kan je dat doen. En
[14:41] Speaker 4: dat was voor opslag. Dus wat die code deed? Ja,
[14:44] Speaker 4: wat die code doet, is PHP wordt dus gebruikt om
[14:47] Speaker 4: websites mee te maken. En een heleboel verschillende mensen kunnen
[14:50] Speaker 4: natuurlijk tegelijkertijd jouw website bezoeken. Ja. Nou, PHP kan ook
[14:54] Speaker 4: computergeheugen gebruiken, kan dat ook opmaken. En dan zou de
[14:58] Speaker 4: hele website down gaan. En om te voorkomen dat dat gebeurt,
[15:01] Speaker 4: wordt ieder webbezoek, iedere pagina die wordt gegenereerd, heeft een
[15:06] Speaker 4: eigen individuele geheugenlimiet. En als één pagina dus te veel
[15:11] Speaker 4: geheugen zou gebruiken... dan is het echt PHP, oké, die
[15:15] Speaker 4: pagina stoppen we. Maar we stoppen alleen die pagina. Dus
[15:18] Speaker 4: we gaan niet de hele website onderuit halen... maar alleen
[15:21] Speaker 4: dat ene boefje wat te veel geheugen. En dan heb
[15:23] Speaker 4: je daar opeens een 404. Ja, en dan ben je
[15:25] Speaker 4: 500 error. Maar in ieder geval, dan bescherm je dus...
[15:30] Speaker 4: de onderlinge gebruikers worden van elkaar beschermd.
[15:32] Speaker 2: Dat is
[15:33] Speaker 4: niet één iemand die je hele backend opneemt.
[15:34] Speaker 2: Dat niet de hele domino-lading
[15:36] Speaker 4: omvalt. En hoe hebben ze dat nou gedaan... Iedere keer
[15:39] Speaker 4: als in PHP een stukje geheugen wordt gebruikt... dan houdt
[15:42] Speaker 4: hij een tellertje bij. En zodra hij ziet dat je
[15:46] Speaker 4: te veel geheugen hebt gebruikt... dan springt hij terug naar
[15:51] Speaker 4: het begin van de pagina... en zegt hij, geef maar
[15:53] Speaker 4: een errorcode. En dat is een linkerstunt. En wat bleek nou?
[16:00] Speaker 4: Het is mogelijk gebleken om dat ding... een opruimactie te
[16:06] Speaker 4: gaan laten houden. Dus als hij dan terugspringt, dan moet
[16:08] Speaker 4: hij al dat geheugen wat hij tot nu toe gebruikt heeft,
[16:10] Speaker 4: moet hij allemaal weer netjes teruggeven. En het blijkt me,
[16:12] Speaker 4: men heeft een trucje gevonden, dat je hem al dat
[16:15] Speaker 4: geheugen kan laten opruimen, nog voordat dat geheugen daadwerkelijk gebruikt was.
[16:20] Speaker 4: En op dat moment wordt er twee keer opgeruimd. En
[16:23] Speaker 4: dat is een pad waar allemaal hackers doorheen kunnen, want
[16:25] Speaker 4: als er een geheugen dubbel wordt opgeruimd... dan kan je
[16:29] Speaker 4: daarna de nieuw data erin stoppen. Het vergt wat ver
[16:31] Speaker 4: om dat allemaal uit te leggen. Maar de essentie van
[16:34] Speaker 4: de fout die ze hebben gemaakt... en die hadden we
[16:35] Speaker 4: echt al wel eerder kunnen zien
[16:37] Speaker 4: is dat je zei, je bent hier aan het jongleren
[16:39] Speaker 4: met kettingzagen... want je bent heel nauwkeurig steeds aan het optellen...
[16:43] Speaker 4: en als er een stukje geheugen werd vrijgegeven... dan werd
[16:46] Speaker 4: dat er met de hand weer uitgehaald. Dus die mensen
[16:48] Speaker 4: zaten met de hand een complete boekhouding bij te houden...
[16:52] Speaker 4: van al het geheugen wat werd gebruikt. En dan wist
[16:55] Speaker 4: je al, dat was die codesmel waarmee ik begon. Dus
[16:57] Speaker 4: als ik die code had gelezen in 2020... dan had
[17:01] Speaker 4: ik al gezegd van, nou, ik zie de bug nog niet, maar...
[17:04] Speaker 4: Er gaat iets komen.
[17:05] Speaker 3: Maar er waren dus mensen die hadden dat dus gezien...
[17:08] Speaker 3: in die hele PHP-community. In 2024 al, zeg jij.
[17:11] Speaker 2: Maar al eerder hadden ze die
[17:12] Speaker 3: codesmel. We
[17:14] Speaker 4: moeten er iets aan doen. Maar die community, die gingen
[17:16] Speaker 4: niet snel genoeg. Maar wat gebeurde er toen, en dat
[17:18] Speaker 4: is waar het best wel interessant wordt... Als je zoiets ziet,
[17:21] Speaker 4: dan zeg je... stel je nou voor dat dit fout gaat,
[17:23] Speaker 4: wat zou het gevolg dan zijn? In eerste instantie is
[17:27] Speaker 4: dat een crash van de website. Dat is al niet leuk, hè?
[17:30] Speaker 4: Maar men heeft toen heel lang zitten kijken... kunnen we
[17:33] Speaker 4: ons een manier voorstellen... dat een aanvaller die crash om
[17:37] Speaker 4: zou kunnen zetten in een actieve hack? Zou het lukken
[17:41] Speaker 4: om hiermee door te dringen en de website over te nemen?
[17:44] Speaker 4: En toen had iedereen ernaar gekeken en zei van... nee,
[17:46] Speaker 4: het ziet er wel maar shit uit, maar... Ik denk
[17:48] Speaker 4: dat je alleen maar vandalisme kan doen hier. Je kan
[17:51] Speaker 4: het alleen maar slopen. Het
[17:52] Speaker 2: heeft
[17:52] Speaker 4: geen consequenties. Je kan er geen exploit doorheen sturen. Dus
[17:55] Speaker 4: je kan de website wel tijdelijk stuk maken. Maar dat
[17:58] Speaker 4: kan altijd wel. Maar je kan er niet mee de
[18:00] Speaker 4: hele webserver overnemen. En dat was een inschatting die toen
[18:04] Speaker 4: is gemaakt
[18:05] Speaker 4: En die inschatting bleek dus incorrect.
[18:08] Speaker 3: Ja
[18:09] Speaker 3: maar nu ga je echt te snel. Nee, maar wacht even.
[18:14] Speaker 3: Wat is je punt dan? Naar mijn idee, dat was
[18:17] Speaker 3: verkeerd ingeschat... maar ze waren bezig met een patch om
[18:21] Speaker 3: dat op te lossen. Ik ga nu wel in de
[18:22] Speaker 3: post moeten, maar heel snel. Nu
[18:23] Speaker 4: ga je wel hele gekke
[18:24] Speaker 2: sprongen maken
[18:26] Speaker 4: Ik denk dat ik weet wat je bedoelt. Ze hadden
[18:27] Speaker 4: toen dat gezien... Toen heeft men het weggeredeneerd. Wij kunnen
[18:32] Speaker 4: ons nu niet voorstellen dat iemand hiermee kan hacken. Precies.
[18:34] Speaker 4: Dus laat deze bak ellende hier maar liggen.
[18:38] Speaker 2: Het is een rot muurtje, maar het staat niemand in
[18:41] Speaker 2: de weg. Dus laat maar staan
[18:42] Speaker 4: En de reden dat ze dat hebben gedaan... is dat
[18:45] Speaker 4: hier is heel veel tijd in geïnvesteerd. In dat precieze
[18:47] Speaker 4: optellen en afwekken allemaal. En ze hadden een hele bijzondere
[18:51] Speaker 4: techniek gebruikt. En als ze dat wilden oplossen, en dat
[18:53] Speaker 4: blijkt nu ook, die patch die gisteren... Er is dus
[18:57] Speaker 4: een update uitgekomen die het probleem opheft. Idealiter hoop je
[19:02] Speaker 4: dan dat je een oplossing hebt, een pleister van vier regels.
[19:06] Speaker 4: Dat hebben we niet gekregen. We hebben 12.000 regels gekregen.
[19:09] Speaker 4: Want het bleek dat om dit op te lossen, moesten
[19:12] Speaker 4: ze eigenlijk best wel een heel groot stuk van PHP herprogrammeren.
[19:16] Speaker 4: Dus het was veel fundamenteeler. Het is veel fundamenteeler. En
[19:20] Speaker 4: dat boezemt mensen nu ook angst in. Want ze hebben
[19:23] Speaker 4: zoiets van, je hebt het probleem nu op 250 plekken opgelost.
[19:26] Speaker 2: En hoe meer nieuwe regels
[19:28] Speaker 4: coden, hoe groter het risico dat er weer nieuwe
[19:31] Speaker 2: works ontstaan.
[19:31] Speaker 4: Even een voorspelling te doen. Ik denk dat ze ongetwijfeld
[19:34] Speaker 4: bij het oplossen ook wel wat foutjes gemaakt hebben. Maar
[19:37] Speaker 4: denk je dat of weet je
[19:38] Speaker 2: dat eigenlijk
[19:38] Speaker 4: al? Dat weet ik, maar laat ik even goed zeggen
[19:40] Speaker 4: wat ik daarmee bedoel. Daarmee bedoel ik niet dat er
[19:42] Speaker 4: nog steeds gehackt kan worden. Ik denk dat ze dat
[19:45] Speaker 4: wel op voldoende plekken dicht hebben gedaan. Maar ik geloof
[19:47] Speaker 4: best wel dat ze in die 250 fixes ergens anders...
[19:49] Speaker 4: wel een foutje gemaakt hebben. Waardoor bijvoorbeeld iemand nu makkelijker
[19:53] Speaker 4: een hele site omver kan duwen. Omdat daar dan staat van,
[19:56] Speaker 4: ik zie dat jij me bijna gaat hacken. En dan
[19:58] Speaker 4: val ik om.
[19:59] Speaker 3: Maar we zijn nu al, kijk, de dramatiek en de
[20:03] Speaker 3: angst en de paniek ontstond natuurlijk dat het is uitgelekt.
[20:07] Speaker 3: Weet je, dat die patch moest eerder komen. Dus het
[20:10] Speaker 3: gaat eigenlijk om dat lek op 20 oktober. Dat hackers,
[20:13] Speaker 3: dat het
[20:14] Speaker 2: op
[20:14] Speaker 3: social media is geplaatst.
[20:15] Speaker 2: Nou ja, en als ik het goed begrijp. Zijn notabene OpenAI,
[20:22] Speaker 2: Wiz en Khalif met PHP samen... hier met alle moderne
[20:26] Speaker 2: AI-mogelijkheden naar gaan kijken. Hebben vastgesteld dat het is wat
[20:30] Speaker 2: jij net eigenlijk uitlegde. Nou, dit is toch wel een probleem.
[20:32] Speaker 2: Is PHP al aan die fix gaan werken? Had het nieuws... Jongens,
[20:37] Speaker 2: deze kwetsbeden zijn er op donderdagochtend... of donderdag naar buiten
[20:40] Speaker 2: moeten komen, terwijl de update er al was. Maar het
[20:42] Speaker 2: is gelekt dat die bugs er zijn. En daarom hadden
[20:45] Speaker 2: we de situatie die we woensdag deze
[20:46] Speaker 4: week hebben
[20:47] Speaker 2: meegemaakt. Ik kom hier met
[20:48] Speaker 4: twee dingen, want er waren dus wat hints... uitgelekt. Dat
[20:52] Speaker 4: is ook veel via de commerciële beveiligingsindustrie gegaan. Dus er
[20:55] Speaker 4: waren allemaal bedrijven die hadden al via-via advance warning gekregen.
[21:01] Speaker 4: En dat via-via is dan het... Oude jongens, old boys network.
[21:05] Speaker 4: Mensen die elkaar kennen. En daardoor is er zijn er
[21:08] Speaker 4: flarden van het verhaal uitgelekt. Maar die flarden bleken al
[21:11] Speaker 4: genoeg te zijn... dat mensen dachten van... nou, nu kan
[21:15] Speaker 4: ik dit ook wel gaan exploiten. Mag
[21:18] Speaker 3: ik even over dat oorpoort? In signalberichten zitten ze naar
[21:22] Speaker 3: elkaar of op Slack... en uiteindelijk post iemand dat dan wel. Ja,
[21:26] Speaker 3: die denkt dit is leuk, dit wil ik echt gaan delen.
[21:28] Speaker 4: Ze hebben hier niet... Dit zijn nerds... High. Je wordt
[21:32] Speaker 4: gewoon van zo'n hack als je zoiets hebt.
[21:34] Speaker 2: Daar
[21:34] Speaker 4: word je gewoon helemaal high van.
[21:35] Speaker 2: Dit is waarom
[21:35] Speaker 4: mensen het doen. En je ziet ook, ze hadden dus
[21:37] Speaker 4: een filmpje gemaakt... waar ze met hun exploit WordPress en Joomla...
[21:43] Speaker 4: Dat is een heel grappig filmpje met een dansend mangameisje.
[21:46] Speaker 2: Een hele hysterische muziek. Maar dan
[21:48] Speaker 4: zie je dat die mensen er al zo high van waren.
[21:52] Speaker 4: En dat filmpje stond al vier dagen op YouTube. Oh. Ja,
[21:55] Speaker 4: alleen unlisted. Maar deze mensen hebben niet de discipline van
[22:01] Speaker 4: een inlichtingendienst. Want daar zou je nou zeggen, niemand van
[22:05] Speaker 4: jullie praat. Maar
[22:07] Speaker 2: wie zou er dan een belang bij hebben om dit
[22:09] Speaker 2: te lekken? Of is het echt gewoon, zoals ze op
[22:11] Speaker 2: het internet zeggen
[22:12] Speaker 4: voor lols? Ja, voor de lols of net. Je moet weten,
[22:16] Speaker 4: als je dus geheimen bewaart, is een vak... En een
[22:20] Speaker 4: van de eerste dingen, als je een geheim wil bewaren...
[22:21] Speaker 4: moet je ervoor zorgen dat andere mensen niet weten dat
[22:24] Speaker 4: jij een geheim hebt. Maar dan zitten al die mensen
[22:26] Speaker 4: een beetje zo van... ik weet zoiets spannends. En
[22:30] Speaker 3: dan gaat
[22:30] Speaker 4: iedereen zeggen, wat voor een spannend. En dan zeg je,
[22:33] Speaker 1: ik wil een
[22:33] Speaker 4: hint geven, begin met P. En binnen de kortste keren
[22:38] Speaker 4: lekt dat. Dus die mensen... Hoe groot is zo'n groep? Nou, dit...
[22:45] Speaker 3: Dat is een gemeenschap. Nou bevinden ze zich.
[22:48] Speaker 4: Nou ja, kijk nu is het blijft. Kalief is er heel.
[22:51] Speaker 4: En die jongens zijn knap. Want ik wil nog even aangeven.
[22:55] Speaker 4: Dat gat wat ontdekt is. Daar hebben dus mensen al
[22:58] Speaker 4: vijf jaar naar zitten kijken. Over het algemeen zonder AI.
[23:02] Speaker 4: Zonder AI, maar zelfs met de AI was niet zo.
[23:06] Speaker 4: Want ook zelfs met AI is er al heel veel
[23:08] Speaker 4: naar gekeken. Dus deze PHP-code was al zes keer gescand.
[23:11] Speaker 4: Maar dit vergde dus iemand die onwijs goed er zelf
[23:14] Speaker 4: mee is. En die daarmee nog meer vragen aan de
[23:17] Speaker 4: AI kon stellen. Wat vind jij hiervan? Wat heb je
[23:20] Speaker 4: daar gevonden? Dus dit is een... Een zeldzaam geval waarin
[23:23] Speaker 4: je zegt... oké, hier was de AI plus de mens...
[23:27] Speaker 4: was gewoon onverslaanbaar.
[23:29] Speaker 2: Maar dat vind ik een heel belangrijk punt, Bert. Want
[23:31] Speaker 2: wij hadden het net al eventjes in het gesprek over...
[23:33] Speaker 2: wat we allemaal waarnemen wat er dit jaar met de
[23:35] Speaker 2: AI gebeurt. We hebben jou ook vaak goed onderbouwd kritisch
[23:38] Speaker 2: over AI gehoord. Maar ik hoorde ook in jouw woorden doorklink...
[23:41] Speaker 2: ook wat jij deze week op BNR hierover verteld hebt.
[23:44] Speaker 2: Het kan nu echt indrukwekkende dingen. Daar wil ik jou
[23:47] Speaker 2: even over horen. Dat is
[23:48] Speaker 4: echt waar. Zonder de AI hadden ze dit niet gevonden...
[23:54] Speaker 4: Zonder de mens had de AI het ook niet gevonden. Nee, oké,
[23:56] Speaker 2: dus het helpt
[23:57] Speaker 4: elkaar. Het is een fiets. Het is een fiets. Maar kijk,
[23:59] Speaker 4: er wordt dus vaak gezegd van de AI in juiste
[24:02] Speaker 4: handen kan je hele knappe dingen mee doen. Ja
[24:04] Speaker 2: maar ook hele kwaadaardige
[24:05] Speaker 4: dingen
[24:05] Speaker 2: Hele
[24:05] Speaker 4: kwaadaardige. Ja, dus knap in de soort neutrale zin van indrukwekkend.
[24:09] Speaker 2: Juist. Ook al is het slecht.
[24:12] Speaker 4: En dat vind ik, dat moeten mensen niet ontkennen. Dus
[24:17] Speaker 4: als je kritisch bent op AI. Je mag best kritisch
[24:19] Speaker 4: zijn op AI. Dat ben ik ook heel erg. Maar
[24:21] Speaker 4: je kan niet zeggen dat dit niet gebeurd is. Maar
[24:24] Speaker 4: dat was een jaar geleden nog niet aan de hand.
[24:26] Speaker 4: Nee dat was het niet. Maar het is ook wel
[24:28] Speaker 4: heel belangrijk om te weten. Deze mensen. Men heeft al.
[24:31] Speaker 4: Twee jaar lang is iedereen met AI in PHP aan
[24:34] Speaker 4: het peuren geweest. Iedereen wist van als je PHP weet
[24:37] Speaker 4: te hacken, dan heb je 70% van het internet. Bijna
[24:40] Speaker 4: een soort brute force
[24:41] Speaker 2: manier van we gaan
[24:42] Speaker 4: een keer een kwetsbaarheid
[24:43] Speaker 2: vinden
[24:43] Speaker 4: En er waren al best wel wat dingen in gevonden wel.
[24:46] Speaker 4: En deze werd pas zichtbaar. Want de mensen die het
[24:49] Speaker 4: ontdekt hebben, waren ook oud PHP professionals. Het waren mensen
[24:53] Speaker 4: die kenden die code al van haver tot gord. Hun kindje.
[24:57] Speaker 4: Hun kindje. En iedereen vanwege die code smell. Die niet
[25:01] Speaker 4: zo goed was. Wist iedereen. Dit is de rijke grond
[25:05] Speaker 4: om in te zoeken.
[25:05] Speaker 3: Maar je maakt je zin niet af. Het werd maar zichtbaar.
[25:08] Speaker 4: De combinatie. Dus toen er dus iemand was. Die dus
[25:11] Speaker 4: en heel goed was met PHP. En heel goed was
[25:14] Speaker 4: met AI. Die combinatie is gewoon heel indrukwekkend. Dat is
[25:19] Speaker 4: nou niet. Ik maak me wel zorgen over. Ik vermoed
[25:21] Speaker 4: we hebben nog een paar andere PHP's in de wereld.
[25:24] Speaker 4: Oh
[25:24] Speaker 4: noem ze eens. Engine X.
[25:26] Speaker 3: Ja, maar zullen we... Nee, maar ik wil even... Want
[25:28] Speaker 3: dit is het volgende onderwerp. We moeten even... Dus er
[25:32] Speaker 3: was gelekt. En toen kwam PHP, de community... Het kwam
[25:36] Speaker 3: officieel uit van... Hey, jongens, morgen is er iets aan
[25:40] Speaker 3: de hand. En toen reageerde dus wat we in het
[25:43] Speaker 3: begin hadden... Nederland heel goed, de rest kwam veel later.
[25:49] Speaker 3: Hadden we dat anders moeten doen? Een
[25:52] Speaker 4: van de dingen die we heel anders hadden moeten doen...
[25:54] Speaker 4: is vrij veel organisaties die zijn gisterochtend gaan zoeken... gebruiken
[25:59] Speaker 4: wij PHP? Juist. En ik heb gesproken met financiële instellingen...
[26:03] Speaker 4: met overheden en andere plekken. Sommige van die plekken konden
[26:06] Speaker 4: gewoon hun Excel-sheet met software... die deden Ctrl-F, PHP en
[26:10] Speaker 4: die zeiden oké, de volgende vier dingen
[26:11] Speaker 4: Sommigen vroegen het aan Claude over hun interne systemen. Had
[26:14] Speaker 4: het antwoord ook? Ja, dat was bijvoorbeeld de FD Media Groep.
[26:18] Speaker 4: Maar je ziet dus dat de organisaties die nu moesten
[26:22] Speaker 4: gaan zoeken... van zijn wij kwetsbaar of niet, die hebben
[26:26] Speaker 4: echt problemen. Want die hebben misschien ook wel verkeerde inschattingen gemaakt. Omgekeerd,
[26:31] Speaker 4: ik denk dat er gisteren een paar sites down zijn gegaan...
[26:33] Speaker 4: waarvan het niet had gehoeven.
[26:34] Speaker 2: Maar die zijn uit
[26:34] Speaker 4: voorzorg. Dat ze gewoon dachten
[26:36] Speaker 2: we weten het niet, dus doe maar
[26:38] Speaker 4: gewoon. Een van de leermomenten is dus... heb alsjeblieft een
[26:43] Speaker 4: lijst met wat hebben wij kinderlucht. De meeste organisaties, als
[26:46] Speaker 4: je vraagt... welke diensten hebben wij allemaal in internet hangen...
[26:49] Speaker 4: dan zeggen ze, dat zijn er wel
[26:50] Speaker 2: veel. We hebben jou natuurlijk al miljoen miljard keer gehoord...
[26:53] Speaker 2: over de afschuifcultuur van verantwoordelijkheid in Nederland. Zeker bij de
[26:56] Speaker 2: overheid
[26:57] Speaker 4: Dat is de EFT-oproep die altijd geldig is... Iedere organisatie
[27:00] Speaker 4: moet een up-to-date lijst hebben. Dit zijn de diensten die
[27:03] Speaker 4: wij in internet hebben hangen. En je moet net zo
[27:06] Speaker 4: lang rondgaan bij alle afdelingen. Hebben we ze nou
[27:08] Speaker 2: echt allemaal gehad? En ook bij je
[27:10] Speaker 4: partners
[27:10] Speaker 2: uitvragen. Dat is er
[27:11] Speaker 4: ook wel eentje geweest. Dat mensen ontdekten dat hun partners...
[27:13] Speaker 4: die inmiddels best wel heel vitale diensten leverden... dat die
[27:17] Speaker 4: het niet hadden. Dat is een van de leermomenten. Maar
[27:19] Speaker 4: de andere vind ik ook wel heel spannend. We hadden
[27:21] Speaker 4: dus in Nederland een functionerende pijplijn... van obscure berichten op
[27:25] Speaker 4: Mastodon naar Lubach. Maar ik heb ook organisaties gesproken gisteren.
[27:31] Speaker 4: Ook eentje, laat ik precies zijn. Die zeiden van, is
[27:33] Speaker 4: er iets aan de hand
[27:34] Speaker 3: dan
[27:35] Speaker 4: Die wisten helemaal niks.
[27:36] Speaker 3: Dat vraag
[27:37] Speaker 4: ik me ook wel een beetje af. Ik weet bijvoorbeeld
[27:40] Speaker 4: van de Nederlandse overheid... waren er gisteren om drie uur
[27:42] Speaker 4: s'nachts mensen al bezig. Omdat ze het op dinsdag gehoord hadden.
[27:45] Speaker 4: Dat is goed. Dat is geweldig. Hij heeft iemand op
[27:48] Speaker 4: zitten letten en hij dacht... ik zie nu al dat
[27:50] Speaker 4: dit ellende wordt. Maar als je een beetje een saai
[27:53] Speaker 4: pensioenfonds bent of zo
[27:55] Speaker 2: dan heb je misschien niet iemand die... Nee, maar dit
[27:57] Speaker 2: gaat over de mentaliteit, over je digitale hygiëne... over je bewustwording,
[28:02] Speaker 2: bewustzijn van welke systemen draai je allemaal. Maar al met
[28:06] Speaker 2: al zou ik toch zeggen... er is verrassend adequaat gehandeld
[28:10] Speaker 2: in ons land. Ja, tot nu toe.
[28:11] Speaker 4: Maar ik durf wel te zeggen dat wij de komende
[28:13] Speaker 4: dagen en weken...
[28:15] Speaker 2: En maanden
[28:16] Speaker 4: Ja, zeker, ontdekken wij de zwakke broeders.
[28:18] Speaker 2: Ja.
[28:19] Speaker 4: die dus niet wisten dat zij nog wat PHP hadden draaien...
[28:24] Speaker 4: in een zwart doosje wat de website optimaliseerde. Of het
[28:27] Speaker 4: ding wat de banner aan de buitenkant van het gebouw programmeert.
[28:30] Speaker 4: En noem maar wat. Dus wij gaan nog wekenlang... Maandenlang
[28:36] Speaker 4: gaan er mensen ineens gehackt zijn. Maar nu is dan
[28:38] Speaker 4: de obvious vraag
[28:40] Speaker 2: Eén, juist omdat het op zoveel plekken zit en je
[28:44] Speaker 2: je dan afvraagt... ja, maar wie gaan ze dan targeten?
[28:46] Speaker 2: Of zijn de manieren al zo geavanceerd dat kwaadwillenden heel breed...
[28:53] Speaker 2: juist ook omdat we niet
[28:55] Speaker 4: weten
[28:55] Speaker 2: wel
[28:56] Speaker 4: en geen PHP gebruikt. Uitbuiten van deze kwetsbaarheid... is nog
[29:00] Speaker 4: niet zo simpel als die
[29:01] Speaker 2: lijkt. Het kan, maar het risico dat het gebeurt... is
[29:04] Speaker 2: nog steeds betreffend laag. Het is op
[29:05] Speaker 4: dit moment voorbehouden... aan de allerknapste mensen. Maar in de
[29:09] Speaker 4: loop der weken... dan kan iedereen het gaan doen. Omdat
[29:13] Speaker 4: ze het kunstje hebben afgekeken. Maar ook met AI weer
[29:18] Speaker 3: Leg eens uit hoe dat gaat
[29:19] Speaker 4: Hoe dat nu gaat, als je deze... deze kwetsbaarheid wil misbruiken...
[29:24] Speaker 4: is het niet genoeg om je te melden bij PHP...
[29:27] Speaker 4: en gewoon een rare set bytes te sturen. Je moet
[29:30] Speaker 4: een heleboel verzoeken tegelijk sturen. En een deel van die
[29:34] Speaker 4: verzoeken veroorzaakt storingen. En een ander deel van die verzoeken
[29:37] Speaker 4: probeert dan... door die storing naar binnen te krijgen. Aan
[29:41] Speaker 4: een demofilmpje wat ze hebben gereleased, daar probeert de ene
[29:45] Speaker 4: helft van een computer de andere helft te hacken. Dat
[29:47] Speaker 4: betekent dat er oneindige bandbreedte capaciteit is, want je zit
[29:51] Speaker 4: op de computer zelf. Maar als je dit op afstand
[29:53] Speaker 4: wil doen, denk ik dat er best wel gigabytes aan
[29:56] Speaker 4: netwerkverkeer nodig zijn voor een enkele hack. Juist. Is het
[30:00] Speaker 4: wel zo, dat is een oud gezegde van de National
[30:02] Speaker 4: Security Agency. Attacks always get better. Juist. Or they never
[30:07] Speaker 4: get worse. Dus dat betekent dat een aanval die nu
[30:10] Speaker 4: een paar gigabyte aan netwerkverkeer kost... misschien kan die over
[30:14] Speaker 4: drie weken wel in twaalf kilobyte. Dus die aanvallen gaan
[30:17] Speaker 4: alleen maar beter worden
[30:19] Speaker 4: En op dit moment is het soms ook wel zo...
[30:21] Speaker 4: als je dan bijvoorbeeld probeert zo'n zwart doosje, zo'n NAS
[30:24] Speaker 4: te hacken of zo... Misschien is de CPU in die
[30:26] Speaker 4: NAS wel zo zwak... dat het niet lukt om hem
[30:29] Speaker 4: te hacken
[30:30] Speaker 2: Omdat hij niet hard genoeg... omdat er nooit twee
[30:32] Speaker 4: dingen tegelijk gebeuren. Dus dat gaan we allemaal... Dan word
[30:36] Speaker 4: je gered door zijn eigen incapabiliteit. In sommige gevallen word
[30:39] Speaker 4: je ook... in dit geval niet zomaar... Er zijn ook
[30:41] Speaker 4: wel eens mensen gered omdat ze hun software zo lang
[30:43] Speaker 4: niet geüpdatet hadden.
[30:44] Speaker 3: Dat het niet meer werkte.
[30:46] Speaker 4: Maar
[30:46] Speaker 3: Cloudflare opbracht naar buiten dat het wel
[30:49] Speaker 4: hard ging met de aanvallen. Ja, zij hebben pogingen tot
[30:51] Speaker 4: aanvallen gezien. En ook gisteren, er zijn dus ook goede
[30:54] Speaker 4: lokale Nederlandse internetproviders... die dus gisteren al beveiligingsmaatregelen aangebracht hebben.
[30:59] Speaker 4: En die zagen ook al in de loop van de
[31:01] Speaker 4: ochtend dat die filters die ze hadden gemaakt... ook hits kregen.
[31:05] Speaker 4: Maar dat zijn pogingen tot aanvallen... en we kunnen wat
[31:08] Speaker 4: moeilijk zien of die ook succesvol zijn
[31:09] Speaker 2: Maar definieer even zo'n poging tot aanval. Is dat iets
[31:12] Speaker 2: wat in principe zou moeten werken... maar kan worden tegengehouden?
[31:15] Speaker 2: Of evolueert dat ook met AI? Even een beetje toelichten.
[31:19] Speaker 2: Je moet
[31:19] Speaker 4: dus berichtjes sturen aan de PHP-engine... en die moet dan
[31:22] Speaker 4: eerst struikelen... En daarna moet tijdens dat struikelen een andere
[31:27] Speaker 4: aanvraag naar binnen. Er overheen klappen. Maar wat men nu ziet,
[31:30] Speaker 4: men ziet die struikel alsjeblieft verzoeken. Die heeft men goed getarget.
[31:35] Speaker 4: Er wordt pootje gehaken. Ja, het pootje haken zien we
[31:37] Speaker 4: gebeuren
[31:38] Speaker 4: Maar je weet nog niet, zou die duizend keer moeten
[31:41] Speaker 4: pootje haken voordat het lukt? Of honderdduizend keer? Of drie keer?
[31:45] Speaker 4: Dat weet je dan weer niet.
[31:47] Speaker 3: Maar op woensdag in de ochtend bracht Chainguard de voortijdigde
[31:51] Speaker 3: oplossing naar buiten. Hoe zit dat precies? Daar werd ook
[31:55] Speaker 3: een hoop hersen over gemaakt.
[31:57] Speaker 4: In zo'n heel vroeg stadium zie je bijvoorbeeld dat een
[31:59] Speaker 4: aanval op een bepaalde specifieke manier werkt. En dan kan
[32:03] Speaker 4: je een tegenmaatregel hebben tegen die specifieke variant van de aanval.
[32:08] Speaker 4: Maar dat betekent dat iemand hem om iets andere manieren
[32:10] Speaker 4: laat struikelen. Want in de beschrijving van het probleem staat van...
[32:13] Speaker 4: we hebben hier nu drie manieren gevonden om hem te
[32:15] Speaker 4: laten struikelen. En dat was genoeg. Maar er was nog
[32:19] Speaker 4: wel andere manieren. Dus aan het begin krijg je dan
[32:22] Speaker 4: vaak zo'n soort pleister. Dat iemand zegt van... Op dag
[32:26] Speaker 4: één kan dat heel erg de moeite waard zijn
[32:30] Speaker 4: Alleen het is dan niet... We zijn hierna klaar. Nee,
[32:33] Speaker 4: natuurlijk
[32:33] Speaker 3: niet.
[32:34] Speaker 4: Want het probleem blijft dat men een moeras van stinkende
[32:37] Speaker 4: code in PHP had liggen. Waarvan je weet, dit is
[32:40] Speaker 4: rijke grond om allemaal dingen op te proberen. En nu
[32:44] Speaker 4: gaan allemaal mensen te peuren. En de echte patch die
[32:48] Speaker 4: dus is uitgebracht, die plakt er zoveel pleisters overheen. En
[32:53] Speaker 4: haalt ook een paar echte angles eruit. Ik denk, dan
[32:55] Speaker 4: ben je wel even gedekt.
[32:56] Speaker 2: Maar
[32:57] Speaker 4: die tijdelijke dingetjes van gisteren, daar zeiden ze zelf ook
[32:59] Speaker 4: al naar uit. Het helpt even.
[33:00] Speaker 2: Ja. Even tussendoor, we hebben de microfoon iets dichter naar
[33:03] Speaker 2: je toe. Vertel even, hoe gaat dat implementeren van zo'n fix?
[33:07] Speaker 2: Is dat klik, update, klaar en hou het in de
[33:09] Speaker 2: gaten
[33:10] Speaker 4: Ja, dat is de goede geval. En in sommige gevallen
[33:12] Speaker 4: is dat ook zo. Dus als je met een up-to-date
[33:15] Speaker 4: versie werkt van je software... dan hoef je niks te doen.
[33:18] Speaker 4: Dan zegt hij gewoon update, klaar. Het probleem is alleen
[33:22] Speaker 4: dat best wel veel systemen zijn veel ouder dan dat.
[33:25] Speaker 4: En dan krijg je niet zo'n kant-en-klare update. En dan
[33:29] Speaker 4: moet je dus zelf of op zoek gaan naar iemand anders...
[33:32] Speaker 4: die voor jou een update heeft gemaakt. PHP is zo'n
[33:35] Speaker 4: groot universum. dat er andere mensen zijn die kant-en-klare packages
[33:40] Speaker 4: hebben gemaakt... waarmee je kunt updaten. Dus als je daarop zat,
[33:44] Speaker 4: dan zit je relatief goed. Want dan kun je zeggen,
[33:48] Speaker 4: ik haal mijn update daar binnen... en die installeer ik gewoon.
[33:52] Speaker 4: Maar het is veel heftiger voor de mensen... die dus
[33:55] Speaker 4: stokoude software draaien. Ja, een hele oude versie.
[33:58] Speaker 2: Een
[33:58] Speaker 4: hele oude versie. Nou, PHP is zo aardig geweest. Die
[34:01] Speaker 4: hebben gezegd, we hebben wel ook een pleister beschikbaar gesteld...
[34:03] Speaker 4: voor best wel stokoude versies... Maar dat is een broncode-update.
[34:08] Speaker 4: Dus dat betekent dat als jij daarvan afhankelijk bent... dan
[34:11] Speaker 4: moet je dus de broncode van jouw oude PHP nemen...
[34:14] Speaker 4: en daar dan die pleister zelf opplakken en hem dan compileren.
[34:18] Speaker 4: En het fascinerende is nu, er zijn dus een heleboel organisaties...
[34:21] Speaker 4: die dit helemaal niet kunnen.
[34:22] Speaker 2: Nee, dat wou ik net zeggen
[34:24] Speaker 4: En wat moeten die nu dan? Nou ja, die moeten
[34:26] Speaker 4: dus nu misschien één, hun website voorlopig uitlaten... Ja, dat
[34:30] Speaker 4: zal op wel meer plekken gebeuren. Ik denk dat er
[34:32] Speaker 4: best wel veel websites zijn die gewoon niet meer terug
[34:33] Speaker 4: gaan komen. Maar dan moeten ze gewoon een nieuwe bouwen
[34:35] Speaker 4: en die op datzelfde
[34:36] Speaker 2: moment... Ja, of
[34:37] Speaker 4: misschien was het wel niet meer zo belangrijk, die website.
[34:39] Speaker 4: Dat kan ook. Dat kan ook
[34:40] Speaker 2: zomaar. Zoals benvandeburg.nl
[34:42] Speaker 4: Ja, maar wat ook gaat gebeuren is... Benvandeburg.nl is heel
[34:46] Speaker 4: slim geweest, want die heeft zichzelf uitgezet. Maar er zijn
[34:49] Speaker 4: ook ongetwijfeld websites van andere mensen... die nu gewoon aanstaan
[34:52] Speaker 4: en die worden de komende weken aan God gehackt. En
[34:54] Speaker 4: ineens staat er een pornoserver op je website. Leuk. En
[34:59] Speaker 4: die mensen gaan hun website ook uitzetten. Die denken, dat
[35:02] Speaker 4: wil ik allemaal niet. Dus er gaan best wel veel
[35:04] Speaker 4: websites sterven hierdoor. Maar wat dit ook zegt, is je
[35:07] Speaker 4: kan dus echt, en dat kon al niet meer... maar
[35:09] Speaker 4: je kan echt niet gewoon een website aanzetten of een
[35:12] Speaker 4: dienst online... en hem dan niet meer kunnen onderhouden.
[35:14] Speaker 2: Nee. Je zei net, er zijn er nog meer zoals PHP. Ja.
[35:19] Speaker 2: Waar moeten we allemaal op letten? En zeker in correlatie
[35:22] Speaker 2: met wat er nu dus allemaal... met de combinatie mens
[35:25] Speaker 2: en AI mogelijk is. Wat gaat er nog volgen? Even
[35:28] Speaker 2: los van PHP.
[35:29] Speaker 4: Even over dit grote vlak. We hebben het nu over technologie.
[35:32] Speaker 4: Waarvan je zegt, dat zit in alles. Ja. En als
[35:36] Speaker 4: je dan in één keer... Kijk, er zijn natuurlijk specifieke programmaatjes...
[35:39] Speaker 4: die worden gebruikt op 3% van alle websites. Dat is
[35:41] Speaker 4: ook heel erg, hoor. Maar één van de hele grote
[35:45] Speaker 4: wielen in deze wereld is Nginx. Dat is een daadwerkelijke webserver.
[35:50] Speaker 4: En dat is het ding wat de nullen en enen
[35:52] Speaker 4: van het internet haalt... en doorgeeft aan PHP. Dus dat
[35:56] Speaker 4: is maar één stapje dichter bij de netwerkverbinding. EngineX is
[36:00] Speaker 4: een Russisch project. Wat ooit is overgenomen door F5.com. Een
[36:06] Speaker 4: leverancier van apparatuur die ook de hele tijd lek is.
[36:11] Speaker 4: En er wordt wel relatief goed gezorgd voor EngineX. Maar
[36:15] Speaker 4: wat is nou wel relevant? Als je kijkt naar de
[36:17] Speaker 4: broncode van EngineX... Heel veel codesmel. Die heeft heel veel codesmel, ja.
[36:22] Speaker 4: En dat ruikt naar PHP. En hoe komt dat nou?
[36:25] Speaker 4: De programmeurs van NGINX zijn overigens echt retun slim. Hele
[36:29] Speaker 4: knappe mensen. Het grappige is, als je veilige code wil maken...
[36:33] Speaker 4: dan moet je eigenlijk zeggen, ik ga mezelf nu dommer
[36:35] Speaker 4: voordoen dan ik ben. En ik schrijf gewoon lekker simpele code...
[36:38] Speaker 4: waarvan iedereen kan zien wat hij doet. Dat is ook
[36:41] Speaker 4: een vorm van veiligheid. Dan heb je ook van die
[36:44] Speaker 4: programmeurs die zeggen... ik ga de moeilijkste code schrijven die
[36:46] Speaker 4: ik kan. Want ik ben zo slim, ik kan zulke
[36:50] Speaker 4: efficiënte code maken. En Engine X bijvoorbeeld, als hij de
[36:54] Speaker 4: technische onderdelen, de headers, zoals dat heet, van HTTP moet lezen,
[36:58] Speaker 4: dan kijkt hij soms naar de tweede letter van een veldje,
[37:00] Speaker 4: want dan zeggen ze dat is efficiënter dan de eerste letter.
[37:04] Speaker 4: Knap
[37:04] Speaker 2: jongens
[37:04] Speaker 4: echt superknap. Maar ik zie iemand jong leren met kettingzagen
[37:10] Speaker 2: En dus hetzelfde principe... en hetzelfde tot vooralsnog onmogelijk uitbuitbare
[37:17] Speaker 2: bugs
[37:18] Speaker 2: die
[37:18] Speaker 4: nu wel uitbuitbaar
[37:19] Speaker 2: gaan zijn.
[37:19] Speaker 4: En NGX is ook georderd tot er bloed uit loopt.
[37:23] Speaker 4: Dus iedereen heeft het al honderd keer geprobeerd om te kijken...
[37:25] Speaker 4: zitten er gaten in
[37:27] Speaker 4: Een heleboel van de gaten zijn er ook wel uit...
[37:29] Speaker 4: Dat is ook wel goed nieuws. Maar ik maak mij
[37:31] Speaker 4: er sterk voor dat als men de PHP-treatment geeft... dat
[37:35] Speaker 4: er iemand wel aan de boom schudt. Op een dag
[37:37] Speaker 4: worden wij wakker met alle NGINX van de wereld is lek.
[37:40] Speaker 3: Wat bedoel je met de PHP-treatment?
[37:42] Speaker 4: De PHP-treatment is dat iemand zegt... we weten dat iedereen
[37:45] Speaker 4: hier al tien keer naar heeft gekeken. Dus de oppervlakkige
[37:48] Speaker 4: bugs hebben we nu wel gehad. Maar nu gaan we
[37:51] Speaker 4: een keer een echte domeinexpert erop zetten. En die gaat
[37:54] Speaker 4: ons eventjes, ook met AI, flink zitten peuren in de
[37:58] Speaker 4: code waar hij het hardste stinkt. Maar dat gebeurt toch wel?
[38:01] Speaker 4: Met PHP gebeurde dat ook al. Maar wat er dus
[38:05] Speaker 4: veranderd is deze keer, is dat men iemand heeft gezegd
[38:08] Speaker 4: die al helemaal thuis was in PHP en heel goed
[38:11] Speaker 4: was met AI. Ja, maar tot nu toe, een heleboel
[38:15] Speaker 4: van de scans die we tot nu toe hebben, zijn
[38:17] Speaker 4: van mensen die gewoon met AI wel handig zijn. Een
[38:19] Speaker 4: modelletje erop knallen. Search again. Zoek nog een keer, of
[38:25] Speaker 4: we kopen nog meer GPU's.
[38:26] Speaker 3: Ja, maar Bert, het is vrij logisch dat er nu
[38:28] Speaker 3: een Nginx expert, die daar vol in zit, het beste
[38:33] Speaker 3: OpenAI of Entropic model krijgt. En vol erop gaat
[38:37] Speaker 2: De vraag is denk ik een beetje. Is dit een
[38:38] Speaker 2: silver lining? Dat nu iedereen als een malle gaat kijken
[38:41] Speaker 2: naar de code X. En alle andere PHP-achtigen. Qua importentie
[38:45] Speaker 1: als backbone
[38:46] Speaker 2: En gaan we dit doorscannen? Of is de doos van
[38:48] Speaker 2: Pandora geopend? Dan gaan we nog veel meer
[38:50] Speaker 4: ellende op ons afkrijgen. We gaan nog veel meer ellende
[38:51] Speaker 4: op ons afkrijgen. Want in principe komen heel veel mensen
[38:54] Speaker 4: gewoon niet in actie. Totdat het in brand staat. Dat
[38:57] Speaker 4: is een statistiek die jullie ook opgediept hadden. Dat iets
[39:00] Speaker 4: van 60% van alle PHP-sites draait een versie van PHP...
[39:04] Speaker 4: die überhaupt niet meer ondersteund wordt. Ja, ik hoop dat
[39:06] Speaker 4: onze collega Daniel Molda
[39:07] Speaker 4: Dus daar heeft iedereen al zitten snoezen. En je dacht,
[39:11] Speaker 4: het gaat best. Er zijn een aantal mensen die dus
[39:13] Speaker 4: al een jaar of zo roepen... van wij moeten alle software...
[39:17] Speaker 4: net zo hard gaan onderzoeken als dat die hackers dat
[39:20] Speaker 4: nu aan het doen zijn.
[39:21] Speaker 3: Maar dat bedoel ik met het watersnoodscenario. Deltawerken moeten nu komen.
[39:26] Speaker 3: Maar
[39:27] Speaker 4: over die deltawerken is het heel interessant. In 1948 zei men,
[39:30] Speaker 4: we moeten dit echt doen.
[39:31] Speaker 2: Precies, maar dat is nu al. Eerst een watersnood, dan
[39:35] Speaker 2: gebeurt het. Maar is het mis genoeg gegaan? Nee, we
[39:38] Speaker 2: leven allemaal nog
[39:41] Speaker 4: Iedereen op intensive care moet een keer doodgaan
[39:44] Speaker 2: Helaas, ja.
[39:46] Speaker 4: En zoals Brenno de Winter al een keer zei... die
[39:50] Speaker 4: voorspelde wat we nodig hebben zijn zelfrijdende auto's... die massaal
[39:53] Speaker 4: een winkelstraat inrijden. Omdat ze gehackt zijn. Ik schrik helemaal
[39:57] Speaker 4: als je dat
[39:57] Speaker 3: zegt. Ja, precies wat je bedoelt. Ja, maar
[39:59] Speaker 4: dat is het soort schok wat we nodig hebben. Wat
[40:02] Speaker 4: Brenno toen ook zei, de Titanic was toen gezonken. Het bleek,
[40:05] Speaker 4: voor de Titanic mocht iedereen gewoon een schip maken.
[40:07] Speaker 2: Ja, ja, ja. O, goh, nu gaan we toch maar
[40:09] Speaker 2: eens even wat van regelgeving optrekken
[40:10] Speaker 4: Ja, we zouden het toch wel leuk vinden als je
[40:12] Speaker 4: roesvrij staal gebruikte of zo.
[40:13] Speaker 2: Ja
[40:13] Speaker 4: En we hebben nu de regels dus wel gemaakt. Dus
[40:17] Speaker 4: we hebben de NIS 2.
[40:19] Speaker 5: Ik wou zeggen
[40:20] Speaker 4: Alleen dat is op dit moment nog zoiets van. Kom
[40:23] Speaker 4: wel een keer. En dat vullen we wel een keer
[40:25] Speaker 4: in ofzo. En dit is weer een stap in de
[40:28] Speaker 4: urgentie hoger krijgen. En een hele interessante die ik gisteren had.
[40:33] Speaker 4: Ik sprak iemand die had het wist van mijn website
[40:35] Speaker 4: draait WordPress. Dat wisten ze. En toen zei ze oké
[40:38] Speaker 4: maar we willen hem dus nu uitzetten. Want we hebben
[40:40] Speaker 4: niet het gevoel dat iemand. En toen zei ze we
[40:42] Speaker 4: weten niet hoe. Dus we hebben niet paraat wie we
[40:45] Speaker 4: moeten bellen. Op de website zelf zit geen uitknop. Dat
[40:49] Speaker 2: voelt als hetzelfde non-filosofie als OpenAI zegt... onze agents zijn
[40:53] Speaker 2: websites aan het hacken.
[40:54] Speaker 4: Ja, maar die mensen moesten toen in gisteren heel hard
[40:57] Speaker 4: gaan bellen... om te ontdekken van wie moet ik eigenlijk
[40:59] Speaker 4: bellen hiervoor. Dat is wel winst van gisteren. Dat dus
[41:01] Speaker 4: een heleboel mensen ontdekt hebben van... oké, ik kan helemaal
[41:03] Speaker 4: niemand bellen. Ja, mensen hebben dingen ontdekt of zelfs scherp
[41:06] Speaker 2: gezet
[41:07] Speaker 4: En zo zullen we echt nog wel een paar keer
[41:09] Speaker 4: dit soort dingen krijgen... Dus het is wel een belangrijke stap,
[41:14] Speaker 4: maar het is nog niet 1953. Nee,
[41:16] Speaker 2: tegelijkertijd als we kijken naar Nederland... NCC heeft gereageerd, heeft
[41:20] Speaker 2: dus gehandeld. Ik zou geneigd zijn te zeggen dat al
[41:24] Speaker 2: met al, gezien de omstandigheden... de situatie best oké verlopen is. Ja,
[41:29] Speaker 4: echt wel.
[41:30] Speaker 2: Hier in Nederland wel. Dat hadden we tot nu toe.
[41:34] Speaker 2: Maar in
[41:35] Speaker 4: ieder geval, er zijn geen... Kijk, stel je voor dat
[41:36] Speaker 4: DigiD was gehackt. Juist. Je hebt even een paar dagen
[41:41] Speaker 4: geen digideeën. Of een paar weken. Of
[41:45] Speaker 1: maanden.
[41:45] Speaker 4: Dus in die zin kunnen we ons al minstens een
[41:48] Speaker 4: 7 geven. Dus dat is al heel goed. Maar dit
[41:55] Speaker 4: is geen garantie voor de toekomst. Want we hebben het
[41:58] Speaker 4: allemaal mazzel gehad.
[41:59] Speaker 3: Nee, we waren op tijd bij, goed gewaarschuwd. Mooi systeem
[42:02] Speaker 3: hebben we in Nederland. Maar het blijft natuurlijk heel frustrerend
[42:06] Speaker 3: dat we blijven waarschuwen. De watersnoodramp 1 februari 1953, dat
[42:11] Speaker 3: was het niet.
[42:11] Speaker 2: Daar wachten we
[42:13] Speaker 3: eigenlijk
[42:13] Speaker 2: op. Dat is toch raar? We hebben alleen maar een
[42:14] Speaker 2: hoge golf gezien. Mensen hebben zich letterlijk ingegraven, maar dan
[42:18] Speaker 2: digitaal
[42:19] Speaker 4: Een rare ding is dat je nu zou zeggen... De
[42:23] Speaker 4: Rijksinspectie Digitale Infrastructuur komt langs bij je... en die komt
[42:27] Speaker 4: je PHP-websites preventief uitzetten. Dan zouden we allemaal zeggen, ga
[42:31] Speaker 4: weer weg joh. Dat bemoei je er niet mee, overheid.
[42:34] Speaker 4: Wat weten jullie er nou van? Dus er is ook
[42:36] Speaker 4: een bepaalde beperkte... zelfs binnen de overheid, om even iets
[42:40] Speaker 4: te noemen... er is dus al mensen die waren al
[42:42] Speaker 4: jaren bezig... met in kaart brengen van lekke WordPress-installaties... van
[42:47] Speaker 4: de Rijksoverheid.
[42:48] Speaker 2: Ja.
[42:48] Speaker 4: En hij heeft zelfs subsidie gegeven aan die mensen... om
[42:52] Speaker 4: dat uit te zoeken
[42:54] Speaker 4: En die hebben rapportages gestuurd. En al die onveilige WordPress-sites...
[42:58] Speaker 4: gewoon bestookt met van... zet jezelf nou uit. En die
[43:00] Speaker 4: bereiken een paar procentjes succes per maand. Want wij accepteren
[43:06] Speaker 4: het nu gewoon niet... dat er iemand langskomt die jouw
[43:09] Speaker 4: site komt uitzetten. Terwijl dat misschien toch soms wel nodig is.
[43:12] Speaker 4: Het
[43:13] Speaker 2: blijft een gek gedachte. Een gek situatie. Dat dat dan
[43:16] Speaker 2: nodig is om... Zo'n situatie betreft.
[43:18] Speaker 4: Ik gelijk dat met, ik vind liften een mooi voorbeeld.
[43:22] Speaker 4: Liften waren vroeger echt gevaarlijk. Ja,
[43:24] Speaker 2: je wilde de ding dat op overlaag halen. Ja,
[43:26] Speaker 4: maar er werd ook echt een hele zware inspectie kwam erop.
[43:29] Speaker 4: En de liftinspectie dit. En je herinnert je nog van
[43:32] Speaker 4: die stickers die erop stonden
[43:33] Speaker 2: Er was ook een
[43:34] Speaker 4: enge film over gemaakt. Er was ook een enge film
[43:36] Speaker 4: over gemaakt, inderdaad. Maar men heeft toen nog even gezegd,
[43:39] Speaker 4: dat hobby met die liften moet afgelopen wezen. Er komt
[43:42] Speaker 4: een inspectie. En nu, gek genoeg, 50 jaar later, zijn
[43:45] Speaker 4: liften zo veilig geworden... dat men gezegd heeft, laat maar
[43:48] Speaker 4: weer
[43:49] Speaker 4: Met die inspectie. Een soort cyclies effect. Het hoeft niet meer.
[43:51] Speaker 4: Maar er zijn eerst best wel veel mensen doodgegaan in liften...
[43:54] Speaker 4: voordat men zei, oké, we hebben nu een liftinstituut. En
[43:57] Speaker 4: wij zitten nu nog steeds in de fase van... die
[43:59] Speaker 4: overheid moet zich niet bemoeien met mijn website, hoor. Terwijl
[44:03] Speaker 4: je langzamerhand best wel zou kunnen zeggen... de maatschappij draait
[44:06] Speaker 4: nu zo hevig op jullie infrastructuur.
[44:09] Speaker 2: En de NIS 2 slash cyberbeveiligingswet voorziet daar dus eigenlijk
[44:12] Speaker 2: niet in? Nou, nog
[44:13] Speaker 4: niet echt. Het is half, het is er bijna. Een
[44:19] Speaker 4: van de dingen die wel fijn is aan de cyberbeveiligingswet...
[44:22] Speaker 4: het legt wel echt iets neer bij de directies. Ja,
[44:24] Speaker 4: de verantwoordelijkheid. Want die konden tot nu toe zeggen... je
[44:27] Speaker 4: moet mij niet verantwoordelijk houden voor dat soort dingen... want
[44:29] Speaker 4: dat doet mijn IT-boer. En nu heeft men gezegd, jij
[44:32] Speaker 4: zoekt het maar uit met je IT-boer
[44:34] Speaker 3: Maar hij zal het zo beschrijven dat hij dan ook
[44:36] Speaker 3: weer vrijgepleit kan
[44:38] Speaker 4: worden. Dat weet ik, maar in ieder geval...
[44:41] Speaker 3: Nee, het is het
[44:43] Speaker 4: begin, jongens. Maar ik vermoed dat er nog wel een
[44:45] Speaker 4: NIS 3 komt. Kijk, een interessant model. Ik weet dat
[44:49] Speaker 4: er in Israël bijvoorbeeld... waar men in ieder geval bezig
[44:54] Speaker 4: is met nationale veiligheid. Behoorlijk. En als jij daar een
[44:57] Speaker 4: onveilige website hebt... dan krijg je een schreeuwende generaal aan
[44:59] Speaker 4: de lijn. Die zegt, hier zet hem nu uit. Zo
[45:02] Speaker 4: werken wij hier niet. Onze eigen NCSC, National Cyber Security Center...
[45:07] Speaker 4: heeft dus tijdenlang gezegd, wij mogen niet scannen... Wij mogen
[45:11] Speaker 4: niet op zoek naar zwakke websites. En dat is natuurlijk belachelijk.
[45:16] Speaker 4: En inmiddels is daar een mouw aan gepast. En nu
[45:19] Speaker 4: kan men eindelijk gaan zeggen... we hebben een lekker PHP
[45:23] Speaker 4: gevonden bij de gemeente zus en zo. Dat is alleen
[45:25] Speaker 3: maar fijn als
[45:26] Speaker 4: ze dat doen. Dat
[45:26] Speaker 3: is
[45:27] Speaker 4: toch
[45:28] Speaker 3: fantastisch
[45:29] Speaker 4: Het bizarre is dus dat tot en met 2025... zei
[45:33] Speaker 4: het NCS, sorry van de wet, mogen wij niets kennen.
[45:36] Speaker 4: Burgers wel trouwens. Nou, dat is natuurlijk een hele maal.
[45:39] Speaker 4: En men heeft toen ook een soort constructie opgetuigd... dat
[45:41] Speaker 4: die burgers mochten gaan scannen. Die mochten dat weer aan
[45:43] Speaker 4: NCSC zeggen. En die mochten dan zeggen, joh, we hebben
[45:45] Speaker 4: een hint ontvangen... dat gemeentezuzuzo.nl een oude PHP draait.
[45:48] Speaker 2: Ja.
[45:49] Speaker 4: Een gekkenhuis natuurlijk.
[45:50] Speaker 2: Ik heb nog één vraag, Bert. Kunnen we vanavond gewoon
[45:53] Speaker 2: weer rustig gaan slapen
[45:54] Speaker 4: Nou, nee. Want de grote golf moet denk ik nog komen.
[45:59] Speaker 4: Met name dus met die embedded PHP. Zoals dat heet.
[46:03] Speaker 4: Die dus in jouw firewall zit. Of in jouw camera systeem.
[46:07] Speaker 4: Of in jouw parkeren ding. Dat wordt een beetje de
[46:10] Speaker 4: slow wave. Want dat is nog niet 1, 2, 3
[46:13] Speaker 4: uit de buiten. Want dat draait ook weer net wat
[46:15] Speaker 4: andere software en zo. Maar niemand is nu bezig al
[46:18] Speaker 4: die zwarte doosjes te bekijken. Nee, dat is
[46:20] Speaker 2: mijn punt
[46:21] Speaker 2: Dus iedereen moet die zwarte doosjes bekijken. Dus je
[46:23] Speaker 4: moet heel kritisch kijken. Doet iemand überhaupt onderhoud op dit ding?
[46:28] Speaker 4: En dat gaat nog weken, maanden door
[46:31] Speaker 2: Dan denk ik dat we jou hier nog vaker over
[46:32] Speaker 2: gaan spreken. De komende dagen, weken, maanden. Maar voor nu
[46:36] Speaker 2: moeten we bij deze uitgebreide analyse... over PHP en alles
[46:39] Speaker 2: wat daarmee samenhangt laten. Dank je wel, Bertie Beer. Vragen
[46:43] Speaker 2: en opmerkingen mogen gestuurd naar de grote techshow op bnr.nl...
[46:46] Speaker 2: of via de BNR-app natuurlijk, daar kun je ons altijd bereiken.
[46:49] Speaker 2: Laten we dan toch in ieder geval nog maar even
[46:51] Speaker 2: over iets hebben, Ben, kort. Waar we normaal de show
[46:54] Speaker 2: grotendeels aan zouden ophangen... maar de week liep ietsje anders.
[46:57] Speaker 2: Wat dacht je van 25 miljard dollar boete voor Meta vanwege...
[47:01] Speaker 2: Het dossier wat tien jaar geleden eigenlijk plaatsvond... en pas
[47:05] Speaker 2: later kwam, namelijk Cambridge Analytica. Knap, hè? Ja, staat Nieuw-Mexico
[47:10] Speaker 3: Goed bezig, die staat. Notabene. Misleiding van de mensen, want
[47:13] Speaker 3: mensen dachten... hé, ik ben veilig en mijn data gaat
[47:16] Speaker 3: niet verder... maar Cambridge Analytica, dat werd aan iedereen verkocht...
[47:21] Speaker 3: Dat was de eerste reden. De tweede reden was dat
[47:24] Speaker 3: geen haatberichten... ik ben veilig op de platform, ook niet.
[47:27] Speaker 3: Dus Facebook heeft de consumentengebruiker misleid. Verrast ons niet, maar
[47:33] Speaker 3: ik vind het vooral knap... Dat is die 25 miljard.
[47:38] Speaker 3: En ik zag gisteravond bij Nieuwsuur, dat was wel mooi...
[47:41] Speaker 3: daar was de baas die handhaafde DSA en de DEMA
[47:46] Speaker 3: in Europa. Het ging over boeking, boeking wordt nu ook
[47:49] Speaker 3: dus een boete. Maar Europa durft natuurlijk die boetes niet
[47:52] Speaker 3: zo hoog te maken. Normaal gesproken 6% van de
[47:54] Speaker 2: wereldwijde jaarlijks omzet. Dat durven ze
[47:56] Speaker 3: niet, want dan zijn ze bang dat Trump boos wordt.
[47:59] Speaker 2: En daarom vind ik
[48:00] Speaker 3: het zo mooi dat New Mexico, de Amerikaanse staat... dit
[48:04] Speaker 3: soort hoge bedragen nu wel durft. Maar dat gaat vast
[48:07] Speaker 2: ook weer geschikt worden, net zoals in
[48:09] Speaker 3: de zaak.
[48:10] Speaker 2: Ze gaan in
[48:10] Speaker 3: hoger beroep, heeft Metten al aangekondigd. Dus dit gaat allemaal gebeuren.
[48:16] Speaker 3: Maar dat het is ingezet en dat het nu iets verandert...
[48:19] Speaker 3: dat vind ik nu wel duidelijk. Hebben we nog steeds
[48:21] Speaker 3: geen antwoord op de vraag
[48:22] Speaker 2: wat nou de grootste digitale
[48:23] Speaker 3: ramp is? Nee, dat hebben we wel. Ja? Wat dan?
[48:26] Speaker 3: Dat blijft... de algoritmische timeline. Hoewel een digitale ramp is
[48:31] Speaker 3: ook wel de code smell.
[48:32] Speaker 2: Ja, inmiddels wel.
[48:33] Speaker 3: De code smell is
[48:36] Speaker 2: de grootste digitale ramp in de mensheid. Tot dusver, zullen
[48:39] Speaker 2: we maar zeggen. En tot dusver ook deze aflevering van
[48:42] Speaker 2: de Grote Tech Show. Tot zover moet ik zeggen. Deel
[48:44] Speaker 2: de podcast met je netwerk, dat vinden we fijn. Abonneer
[48:46] Speaker 2: je als je dat nog niet gedaan hebt. Laat de
[48:47] Speaker 2: beoordeling achter op de platform waar je luistert. Al die
[48:49] Speaker 2: dingen bij elkaar, dat helpt ons ook om gevonden en
[48:52] Speaker 2: beluisterd te worden. Volgende week zijn we er weer met
[48:53] Speaker 2: de Grote Tech Show. Dag.
[49:05] Speaker 1: De Grote Tech Show wordt mede mogelijk gemaakt door Orange
[49:09] Speaker 1: Cyber Defense. Van strategie tot uitvoer, jouw cybersecurity in vertrouwde handen.

Shows are listed from Apple Podcasts' charts and directory, and Podcast Index where it is used. Every show and episode belongs to its publisher and plays from the publisher's own feed; this site hosts none of them.