Een paar kritieke fouten in PHP, de programmeertaal die naar schatting 70% van de websites draait, ontketende deze week een wereldwijde patchrace nadat onderzoekers aantoonden dat de bugs aanvallers zonder wachtwoord controle over servers konden geven.
De fouten werden gevonden met OpenAI-modellen, samen met beveiligingsbedrijven Wiz en Calif. De groep gaf de bugset de bijnaam PHP2Shell. Een van de fouten zat al 14 jaar in de taal.
Wat de fout mogelijk maakt
Aanvallers konden getroffen webservers overnemen zonder authenticatie en geheugen lezen dat mogelijk wachtwoorden en sessiegegevens bevat. Omdat PHP onder WordPress, Drupal en een lange lijst aangepaste sites zit, reikt de blootstelling tot ziekenhuizen, winkels en overheidsportalen, niet alleen technologiebedrijven.
Wiz vergeleek de ernst met Heartbleed, de encryptiefout uit 2014 die gegevens over een groot deel van het web blootlegde. Onderzoekers zeiden dat de fout moeilijk genoeg is om op de grens te liggen van wat menselijke analisten konden misbruiken, en makkelijk voor een AI-agent die aanvalsstappen zelfstandig kan uitvoeren.
Wie organisaties opdroeg te handelen
De Amerikaanse National Security Agency en het cybersecurityagentschap van de Europese Unie adviseerden onmiddellijk te patchen. Beide zeiden dat systemen die niet snel kunnen worden bijgewerkt, offline moeten worden gehaald. Sommige Europese overheidssites deden precies dat, en delen van hun publieke dienstverlening lagen een dag plat.
Dane Knecht, technologiedirecteur van Cloudflare, zei dat het bedrijf vroege aanvalspogingen zag voordat de patch openbaar werd. OpenAI bracht een hulpmiddel uit dat beheerders kunnen gebruiken om te controleren of een installatie blootstaat.
Waarom de openbaarmaking werd gehaast
Details lekten deze week online, waardoor de beheerders van PHP het advies en de update eerder dan gepland moesten publiceren. Dat verkortte de kloof tussen waarschuwing en misbruik, de kloof waar verdedigers het meest op vertrouwen.
De episode snijdt aan twee kanten. AI vond een bug die jaren van menselijke controle had gemist, en dezelfde capaciteit kan aanvallers helpen sneller exploits te schrijven. Beveiligingsteams staan nu voor een simpele test: patchen, of loskoppelen.