EnglishTwee jaar oud PHP-lek gedicht nadat AI de fout hielp ontrafelen
De PHP Foundation heeft twee ernstige lekken in PHP gedicht, waarvan er één al sinds 2024 bekend was. AI hielp om de oude fout te ontrafelen. Er wordt nu misbruik van gemaakt, dus bijwerken is belangrijk.
De PHP Foundation heeft op 21 oktober 2026 twee ernstige beveiligingslekken in PHP gedicht. PHP is een programmeertaal waarop een groot deel van het web draait: volgens OpenAI zo'n 70 procent van alle websites. De twee lekken, samen PHP2Shell genoemd, lieten aanvallers onder bepaalde omstandigheden zonder in te loggen eigen code uitvoeren op een webserver. Ze kregen een ernstscore van 9,2 op 10. De reparatie zit in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12.
Wat er mis was
Beide lekken zitten in de manier waarop PHP met geheugen en fouten omgaat. Dat gebeurt bij bijna elk bezoek aan een website. Bij het eerste lek kon PHP in de war raken als een verzoek precies op het verkeerde moment tegen de grens van het toegestane geheugen aanliep: half opgebouwde gegevens werden daarna als geldig behandeld. Bij het tweede lek kon een fout ervoor zorgen dat een volgend verzoek geheugen gebruikte dat al was vrijgegeven. Volgens de Foundation was vooral de veelgebruikte combinatie van de webserver Apache met mod_php kwetsbaar. Daar was één verzoek van buitenaf genoeg, nog voordat de website zelf iets deed.
Een fout die twee jaar bleef liggen
Het eerste probleem was niet nieuw. Een PHP-ontwikkelaar zag de eerste tekenen al in 2024, toen hij een andere fout herstelde uit de eerste externe beveiligingscontrole van PHP in jaren. Niemand vond toen een concrete manier om het te misbruiken, en andere problemen kregen voorrang. Daarna liep de reparatie maandenlang vast. Het beveiligingsteam had meerdere oplossingen, maar elk had een nadeel: de ene liet bestaande software niet meer werken, een andere maakte het makkelijker om servers plat te leggen en een derde dwong duizenden uitbreidingen van PHP tot aanpassingen. Het team besliste alleen als iedereen het eens was, en niemand wilde een verkeerde keuze maken. De Foundation noemt de vertraging zelf een structureel falen, door die manier van besluiten en door te weinig mensen. Het team gaat nu besluiten bij meerderheid van stemmen.
AI vond de route naar misbruik
Op 30 juli 2026 begon het beveiligingsbedrijf Calif aan een controle van PHP, als deel van OpenAI's programma Patch the Planet. Onderzoeker Ryan A. van Calif meldde op 11 augustus een manier om de oude fout te misbruiken. Onderzoekers van OpenAI meldden diezelfde dag, los daarvan, dezelfde oorzaak. Volgens OpenAI hielp zijn model GPT-5.6 Sol om binnen twee weken werkende aanvallen te maken van een fout waar mensen twee jaar niet uit kwamen. Het beveiligingsbedrijf Wiz meldde op 24 augustus nog een aanvalsroute, OpenAI in september nog meer. Vanaf 11 augustus werkten meerdere ontwikkelaars, betaald door de Foundation, voltijds aan de reparatie.
Een rommelige bekendmaking
De bekendmaking liep niet zoals gepland. Op 20 oktober gingen de nummers van de lekken al rond op internet, met een verkeerde score van 10,0. De Foundation haalde de nieuwe versies daarom een dag naar voren, naar 21 oktober. Die avond zette Calif per ongeluk een video online waarin het eigen aanvalsprogramma werkte. Calif haalde de video weg, maar er gingen kopieën rond. De volgende ochtend bracht softwareleverancier Chainguard al pakketten met de reparatie uit, ruim zes uur voor de afgesproken tijd. Aanvallers konden de reparatie daardoor eerder bestuderen dan de meeste beheerders hem konden installeren.
Misbruik, en wat beheerders kunnen doen
Er wordt inmiddels misbruik van de lekken gemaakt. De Amerikaanse cyberdienst CISA zette beide op 26 oktober op haar lijst van lekken die actief worden misbruikt. Het beveiligingsbedrijf Dream Security meldde dat aanvallers PHP2Shell combineerden met Fragnesia, een lek in de kern van Linux. Zo kregen ze volledige controle over 25 servers in de Verenigde Staten, Japan, Taiwan en Zuid-Korea, en daarna vielen ze drie servers aan in een omgeving die verbonden is met de Amerikaanse overheid.
Volgens tellingen van het onderzoeksbureau Censys draaiden eind oktober nog zo'n 30 miljoen PHP-installaties op internet een kwetsbare versie. Veel daarvan gebruiken een oude PHP-versie die geen officiële updates meer krijgt. Voor zulke versies bieden Linux-distributies en andere leveranciers eigen reparaties aan, maar overstappen naar een ondersteunde versie is de veiligste keuze. Cloudflare voegde regels toe aan zijn filter dat aanvallen op websites tegenhoudt. Wie een website op PHP heeft, kan het beste nagaan of die al op een van de nieuwe versies draait, of de hostingpartij vragen of dat is gebeurd.
Wat betekent dit voor de weg naar de singulariteit?
Dit is een duidelijk voorbeeld van hoe AI het zoeken naar lekken versnelt: een fout die mensen twee jaar niet konden doorgronden, werd met hulp van AI binnen weken ontrafeld. OpenAI wijst erop dat dezelfde vaardigheid ook aanvallers kan helpen, en ziet daarom een periode waarin verdedigers AI moeten inzetten voordat aanvallers dat op grote schaal doen. De Foundation trekt een belangrijke les: AI vindt fouten sneller, maar het kiezen van de juiste reparatie voor een oude ontwerpkeuze blijft werk voor ervaren ontwikkelaars, en die zijn schaars. Daarom heeft de Foundation sinds mei een apart beveiligingsteam voor het hele PHP-ecosysteem, nam ze deze zomer twee extra ontwikkelaars aan en gebruikt ze AI-hulpmiddelen zoals OpenAI's Daybreak om meldingen te controleren. Ze vraagt bedrijven, hostingpartijen en overheden die op PHP draaien om dat werk te steunen. Zo wordt software die bijna iedereen gebruikt, stap voor stap veiliger.
