Twee kritieke PHP-lekken bedreigen miljoenen websites: AI hielp ze ontdekken

De ontwikkelaars van PHP hebben op woensdag 21 oktober 2026 vier beveiligingsupdates uitgebracht voor twee ernstige kwetsbaarheden. De fouten kunnen hackers in staat stellen om zonder wachtwoord code uit te voeren op kwetsbare webservers. AI-modellen van OpenAI en Google speelden een belangrijke rol bij het ontdekken en onderzoeken van de problemen.

De kwetsbaarheden staan bekend als PHP2Shell en krijgen allebei een ernstscore van 9,2 op 10. De PHP Foundation roept websitebeheerders op onmiddellijk hun software bij te werken.

Het nieuws raakt mogelijk een groot deel van het internet. PHP vormt de technische basis van populaire systemen zoals WordPress, Drupal en Joomla. Ook webwinkels, overheidswebsites en zakelijke toepassingen draaien op PHP.

De twee kwetsbaarheden zitten in PHP zelf. Dat betekent dat ze niet afhankelijk zijn van een specifieke WordPress-plugin of een fout in de code van een website.

De eerste kwetsbaarheid, CVE-2026-109618, ontstaat wanneer PHP onder bepaalde omstandigheden zijn geheugenlimiet bereikt. De software kan daardoor interne gegevens verkeerd verwerken. Hackers kunnen die fout misbruiken om eigen code op een server uit te voeren.

De tweede kwetsbaarheid, CVE-2026-109619, heeft eveneens te maken met het geheugen. PHP kan na een ernstige fout verwijzingen naar vrijgegeven geheugen bewaren. Wanneer dezelfde server een volgend verzoek verwerkt, kan dat tot een nieuwe aanvalsmogelijkheid leiden.

Beveiligingsonderzoekers hebben aangetoond dat beide problemen onder bepaalde omstandigheden tot remote code execution kunnen leiden. Daarbij voert een aanvaller op afstand eigen opdrachten uit op een kwetsbare computer.

Bij servers die Apache met mod_php gebruiken, kan een aanval op de eerste kwetsbaarheid zelfs slagen voordat de software van de website zelf begint te draaien.

Een succesvolle aanval kan hackers toegang geven tot bestanden, gevoelige gegevens en functies van de server. Hoeveel schade mogelijk is, hangt onder meer af van de rechten en inrichting van het getroffen systeem.

De rol van kunstmatige intelligentie maakt PHP2Shell bijzonder. Onderzoekers gebruikten krachtige AI-modellen om ingewikkelde fouten te analyseren die jarenlang moeilijk te doorgronden waren.

De eerste aanwijzingen voor een van de problemen kwamen al in 2024 aan het licht. Een ontwikkelaar ontdekte tijdens beveiligingswerkzaamheden een mogelijke fout in het geheugengebruik van PHP.

De ernst ervan was destijds nog niet duidelijk. Volgens de PHP Foundation bleef een oplossing liggen door technische afwegingen, trage besluitvorming en een tekort aan gespecialiseerde ontwikkelaars. De organisatie erkent dat dit een structurele tekortkoming was.

In augustus 2026 veranderde dat.

Beveiligingsonderzoeker Ryan A van Calif vond op 11 augustus een manier om de kwetsbaarheid daadwerkelijk te misbruiken. Volgens OpenAI gebruikte Calif daarvoor het AI-model GPT-5.6 Sol. OpenAI meldde onafhankelijk dezelfde onderliggende fout.

Ook beveiligingsbedrijf Wiz onderzocht PHP. Het team gebruikte onder meer Wiz Atlas, GPT-5.6 Sol en Gemini 4 Argon van Google om kwetsbaarheden te vinden, aanvallen te testen en oplossingen te controleren.

Volgens Google Cloud leverde Gemini 4 Argon een belangrijke bijdrage aan de ontdekking, het ontwikkelen van testaanvallen en het controleren van de beveiligingspatches.

De PHP Foundation gebruikte daarnaast Claude Mythos van Anthropic bij breder beveiligingsonderzoek en OpenAI's Daybreak Red om meldingen en aanvalsmethoden te controleren.

AI verving de ontwikkelaars daarbij niet. Mensen onderzochten de bevindingen, namen de technische beslissingen en werkten aan de definitieve reparaties.

De PHP-ontwikkelaars hebben inmiddels oplossingen gepubliceerd voor alle vier de officieel ondersteunde versies.

Volgens Google zijn PHP-versies vanaf 5.4 tot en met 8.5.11 kwetsbaar voor ten minste een van de problemen.

PHP 8.1 en oudere versies ontvangen geen reguliere beveiligingsupdates meer van het PHP-project. Sommige Linux-distributies en commerciële leveranciers bieden wel aangepaste beveiligingspatches. De PHP-ontwikkelaars hebben daarnaast beperkte broncodepatches gepubliceerd voor PHP 7.4, 8.0 en 8.1.

Websitebeheerders kunnen de beschikbare versies en technische informatie vinden in het officiële beveiligingsadvies van PHP.

Voor WordPress-gebruikers is één punt extra belangrijk: alleen WordPress en de plugins bijwerken is niet voldoende. De kwetsbaarheden zitten in de onderliggende PHP-software die op de server draait.

Wie een website beheert, moet daarom controleren welke PHP-versie de hostingprovider gebruikt. Ook servers, containers en andere toepassingen waarin PHP is ingebouwd, verdienen aandacht.

Het Nederlandse Nationaal Cyber Security Centrum (NCSC) deelt via een speciaal PHP2Shell-overzicht informatie over de kwetsbaarheden en beschikbare oplossingen.

Wie niet direct kan bijwerken, kan tijdelijk aanvullende beveiligingsmaatregelen nemen. Volgens PHP bieden die echter geen volledige bescherming. Een beveiligingsupdate blijft noodzakelijk.

De PHP Foundation wilde de kwetsbaarheden oorspronkelijk op 22 oktober openbaar maken. Nadat informatie op 20 oktober begon rond te gaan, haalde het project de publicatie een dag naar voren.

Ook verscheen kortstondig een video van beveiligingsbedrijf Calif waarin een werkende testaanval te zien was. Kopieën verspreidden zich vervolgens via sociale media.

De PHP Foundation verklaarde dat zij op het moment van de officiële publicatie nog geen functionerende openbare aanvallen had vastgesteld. Beveiligingsbedrijven meldden later wel verdachte activiteit en pogingen om de kwetsbaarheden te misbruiken. Dat betekent niet automatisch dat aanvallers ook daadwerkelijk servers hebben overgenomen.

De dreiging was ernstig genoeg om verschillende organisaties uit voorzorg hun websites tijdelijk offline te laten halen.

Het incident laat vooral zien hoe AI de wereld van cybersecurity verandert.

Een ingewikkelde geheugenfout die jarenlang moeilijk te benutten leek, kon met behulp van moderne AI-modellen alsnog tot een werkende aanval worden uitgewerkt.

Dat biedt beveiligingsonderzoekers nieuwe mogelijkheden om gevaarlijke fouten eerder te ontdekken. Tegelijkertijd kunnen aanvallers vergelijkbare technologie gebruiken om sneller nieuwe aanvalsroutes te vinden.

Die ontwikkeling sluit aan bij eerdere zorgen over AI-modellen die zelfstandig cyberaanvallen kunnen uitvoeren. Ook Anthropic beperkte eerder de toegang tot geavanceerde cyberbeveiligingsfuncties van Claude.

PHP2Shell maakt duidelijk hoe groot het belang van die technologie inmiddels is. AI helpt ontwikkelaars het internet veiliger te maken, maar verkleint mogelijk ook de tijd die organisaties krijgen om hun systemen te beschermen.