AI hielp ruim tien jaar oud lek in PHP te vinden, updates staan klaar
Onderzoekers van Wiz en Calif vonden met hulp van AI-modellen twee ernstige lekken in PHP, de techniek achter naar schatting 70 procent van de websites. Op 21 oktober kwamen de updates. Veel organisaties haalden hun sites uit voorzorg even offline.
Op 21 oktober 2026 kwamen er dringende updates uit voor PHP, de programmeertaal waarop naar schatting zo'n 70 procent van alle websites draait, waaronder bijna alle WordPress-sites. De updates dichten twee ernstige lekken die al meer dan tien jaar in PHP zaten. Ze zijn gevonden met flinke hulp van AI-modellen.
Wat is er aan de hand?
PHP is het programma op een webserver dat een webpagina in elkaar zet als een bezoeker die opvraagt. De lekken zitten niet in de websites zelf, maar in PHP. Daardoor kan ook een site met goed gebouwde eigen code kwetsbaar zijn.
Het probleem ontstaat als PHP een verzoek van een bezoeker niet netjes afmaakt, bijvoorbeeld omdat het geheugen vol raakt. PHP laat dan rommel achter in het werkgeheugen. Het volgende verzoek kan die rommel weer gebruiken. Een aanvaller kan daar misbruik van maken: gegevens uit het geheugen lezen, zoals wachtwoorden, of zelfs eigen opdrachten laten uitvoeren op de server. Daarvoor hoeft de aanvaller niet in te loggen. Beveiligers noemden de lekken samen PHP2Shell. Een "shell" is de opdrachtregel waarmee je een server bestuurt.
Volgens Wiz zit minstens een van de fouten in vrijwel elke PHP-versie van de afgelopen tien jaar, terug tot PHP 5.4.
Hoe AI hielp
Het beveiligingsbedrijf Wiz vond de eerste fout op 19 augustus 2026 en meldde die op 24 augustus aan de makers van PHP. Wiz zegt dat het daarbij veel hulp had van AI, vooral van Gemini 4 Argon van Google, naast GPT-5.6 Sol van OpenAI en een eigen systeem. AI hielp volgens Wiz bij het vinden van de fout, het maken van een werkende aanval om die te bewijzen en het controleren van de reparatie. Eén onderzoeker deed het werk in een week. Volgens Wiz zou een topteam daar zonder AI maanden over doen.
Het beveiligingsbedrijf Calif stuitte in dezelfde periode op een van de fouten met GPT-5.6 Sol. Calif doet mee aan Patch the Planet, een programma van OpenAI dat met AI fouten opspoort en repareert in open software waar veel van afhangt. PHP noemt Wiz, Calif en OpenAI als ontdekkers.
Uitgelekt, daarna snel gerepareerd
De makers van PHP werkten in stilte aan een reparatie. Op 20 oktober verschenen de nummers van de lekken al op het forum Hacker News, voordat de updates klaar waren. Een dag later kwamen de updates uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor de oudere versies 7.4, 8.0 en 8.1 kwamen kleine reparaties voor wie PHP zelf bouwt. Volgens PHP is updaten de enige echte oplossing.
Cloudflare, dat veel websites beschermt, zag die ochtend de eerste aanvalspogingen, nog voor de updates er waren. Ook Amazon Web Services meldde pogingen tot misbruik. Het Nederlandse Nationaal Cyber Security Centrum (NCSC) zag op dat moment nog geen tekenen van actief misbruik.
Sites uit voorzorg offline
Beveiligingsdiensten, waaronder de Amerikaanse NSA, het Britse en het Nederlandse NCSC, riepen op om snel te updaten. Wie dat niet direct kon, kreeg het advies de site even offline te halen. Veel organisaties deden dat uit voorzorg. In Nederland waren onder meer Overheid.nl, MijnOverheid en DigiD tijdelijk uit de lucht, net als de site van de Tweede Kamer, het Havenbedrijf Rotterdam en de KNVB. Ook in Finland, Duitsland, Frankrijk en België gingen overheidssites even offline, en Wikipedia zette een aantal systemen tijdelijk uit. Het ging om voorzorg: deze organisaties meldden geen inbraken.
Wat kun je doen?
Voor gewone internetgebruikers is er niets te doen: PHP draait op servers, niet op je telefoon of laptop. Heb je zelf een website, bijvoorbeeld met WordPress, vraag dan je hostingbedrijf of het de nieuwe PHP-versie al draait. Beheer je zelf een server, installeer dan de update. Dat is volgens de makers van PHP de enige manier om helemaal veilig te zijn.
Wat betekent dit voor de weg naar de singulariteit?
Dit is een van de duidelijkste voorbeelden tot nu toe van AI die ernstige fouten vindt in software waar het hele internet op leunt. Fouten die mensen tien jaar lang over het hoofd zagen, kwamen nu in weken boven. Dezelfde kracht kan ook door aanvallers worden gebruikt. Daarom werken AI-bedrijven, beveiligers en de makers van open software nu samen om zulke fouten eerder te vinden en te repareren. Hoe beter AI wordt in het lezen en controleren van code, hoe sneller de digitale fundamenten van onze samenleving stevig en veilig kunnen worden.
