www.netties.be

Vandaag

Nieuws | PHP2Shell: het lek dat het internet even liet struikelen (en AI de boosdoener of de held?)

Gepubliceerd op: 2026-10-22

Op 20 oktober 2026 kwam er een noodsignaal: PHP, de taal achter een groot deel van het web (denk WordPress, Magento, Drupal), bleek twee gaten te hebben die zo groot zijn dat een aanvaller zonder wachtwoord code op je server kan draaien. Score: 9,2 op 10. CERT-EU en andere overheden zeiden meteen: update of haal je site offline. De volgende dag waren de patches er, maar het internet had al een paar ruwe dagen achter de rug.

Wat is het lek precies?
De twee gaten (CVE-2026-109618 en CVE-2026-109619) zitten diep in de PHP-motor zelf. Eén werkt via een geheugenfout als de server even zonder geheugen komt te zitten tijdens een upload. De ander via oude data die blijft hangen na een crash. In beide gevallen kan een aanvaller zonder inloggen de boel overnemen. Vooral bij de oude Apache-mod_php-opstelling is het gevaarlijk: het gebeurt nog voor je eigen websitecode überhaupt draait. Het treft alle PHP-versies vanaf 5 (uit 2004!), maar officiële fixes zijn er alleen voor de nog ondersteunde 8.2 en nieuwer. Oudere versies blijven dus een open deur, tenzij je host of distributie zelf een pleister plakt. WordPress zelf hoeft geen update: de kwetsbaarheid zit in de PHP-laag eronder. Voor jou als site-eigenaar betekent het: check via je host of Tools > Site Health welke PHP-versie je draait en update die. Doe je dat niet, dan kan iemand op afstand je site, database of server overnemen.

Is AI te efficiënt in het vinden van lekken?
Ja en nee. Het gat werd (mede) gevonden met behulp van AI: een onderzoeker bij Calif gebruikte OpenAI’s GPT-5.6 Sol, en Wiz vond de problemen ook onafhankelijk. OpenAI coördineerde daarna twee maanden lang met PHP-makers, Cloudflare en overheden om een nette “Defender’s Window” te creëren – tijd voor verdedigers voordat aanvallers toeslaan. Dat klinkt netjes, maar de details lekten toch vroegtijdig en aanvallen begonnen al vóór de patch. AI maakt het vinden van dit soort diepe bugs sneller en goedkoper. Dat is fijn voor de goede kant, maar hetzelfde gereedschap ligt ook in handen van criminelen. Anthropic liet tegelijk zien dat AI ook kan helpen door gewoon het “aanvalsvlak” te verkleinen: minder code openzetten in plaats van elk gat apart te plakken. Toch blijft de realiteit: een taal die zo wijdverspreid is en zo lang oude versies blijft ondersteunen, is niet gebouwd voor deze snelheid waarmee lekken gevonden worden. AI vindt de naald sneller, maar de hooiberg is nog steeds enorm en traag in het opruimen.

Waarom gingen sites offline?
Omdat de waarschuwing luid en duidelijk was: als je niet meteen kunt patchen, haal de site dan offline. Finland zette overheidsdiensten stil, Frankrijk deed hetzelfde met prefecturen, de Rotterdamse haven, de Nederlandse cyberdienst, delen van de BBC en diverse andere sites gingen preventief dicht. In eigen land gingen de Vlaamse overheidssites offline, maar ook die van verschillende ziekenhuizen Tele-Onthaal, de Zelfmoordlijn en de FOD Financiën. Cloudflare zag al vroege aanvallen. Het is een verstandige, maar ook pijnlijke maatregel: beter even offline dan volledig overgenomen. Het toont hoe afhankelijk we zijn van één oude, wijdverspreide taal.

Voor de modale site-eigenaar betekent het: niet wachten tot je host het “van zelf” doet. Vraag na, update of neem de site tijdelijk offline. De paniek was reëel, maar de les is harder: zolang we op oude PHP blijven draaien, is dit soort dagen vaker te verwachten. AI versnelt de race; de vraag is of de rest van het internet mee kan.

(1) https://cert.europa.eu/publications/security-advisories/2026-018/...
(2) https://www.anthropic.com/research/attack-surface-reduction...
(3) https://appleinsider.com/articles/26/10/21/new-php-vulnerability-...
(4) https://www.the-independent.com/tech/php-vulnerability-security-2...

Deel op

Deel per

Terug naar het overzicht

Nieuws

Hardware

Oor

Site

Tip

Software

Bekijk hier de oudere artikels

Ons archief is wellicht het meest uitgebreide overzicht...

Design en programmatie by PDL