De recente PHP-crisis is geen klassieke datalek- of hackzaak, maar draait om twee uitzonderlijk ernstige kwetsbaarheden in de PHP-engine zelf. CVE-2026-109618 en CVE-2026-109619 kunnen aanvallers zonder login code laten uitvoeren op kwetsbare webservers. De fouten bleven meer dan tien jaar grotendeels onopgemerkt en werden met hulp van frontier-AI blootgelegd. Sinds de openbaarmaking is daadwerkelijk aanvalverkeer waargenomen, waardoor organisaties wereldwijd versneld patchen of systemen tijdelijk offline halen.
Voor de voorbereidingen van de inhoud en creatie van de visuals wordt (uiteraard) gebruikgemaakt van generatieve AI.
PHP wordt door 70 procent van de websites gebruikt
PHP vormt nog altijd een van de fundamenten van het web. Het zit onder populaire systemen zoals WordPress, Drupal, Joomla en Magento en wordt volgens Cloudflare door bijna 70 procent van de websites gebruikt. Juist daarom veroorzaakten twee op 21 oktober vrijgegeven beveiligingsproblemen onmiddellijk internationale onrust.
De kwetsbaarheden kregen gezamenlijk de bijnaam PHP2Shell en een CVSS-score van 9,2. Het gevaarlijke is dat het probleem niet in WordPress, Drupal of een verkeerd geconfigureerde website zit, maar rechtstreeks in PHP zelf. Daardoor kan een applicatie volledig correct zijn gebouwd en toch kwetsbaar blijven.
Wat gaat er technisch mis?
De eerste fout, CVE-2026-109618, heeft te maken met hoe PHP reageert wanneer het geheugen opraakt. Onder specifieke omstandigheden kan zo’n fout optreden terwijl interne gegevens van een webrequest slechts gedeeltelijk zijn geïnitialiseerd. Tijdens het opruimen kan PHP die beschadigde toestand vervolgens behandelen alsof alles geldig is.
De tweede kwetsbaarheid, CVE-2026-109619, ontstaat doordat interne informatie van een eerder request in het geheugen kan achterblijven nadat het onderliggende geheugen al is vrijgegeven. Een volgend request kan vervolgens opnieuw naar die oude gegevens verwijzen.
Voor een aanvaller kan zo’n geheugenfout uiteindelijk worden omgezet in remote code execution: de mogelijkheid om op afstand eigen code op de server uit te voeren. PHP demonstreerde dat dit bij Apache met `mod_php` zelfs kan gebeuren voordat de code van de website zelf wordt uitgevoerd. Er is dus geen gebruikersaccount of login nodig.
AI veranderde een obscure bug in een werkbare aanval
Opvallend is vooral hoe de kwetsbaarheden werden ontdekt.
Securitybedrijf Calif begon eind juli met een audit van PHP binnen OpenAI’s Patch the Planet-initiatief. Op 1 augustus werd met hulp van GPT-5.6 Sol een eerste problematische codeweg gevonden. Calif rapporteerde de kwetsbaarheid vervolgens aan het PHP-project en werkte een werkende proof-of-concept uit.
Later in augustus ontdekte Wiz dezelfde problemen onafhankelijk. Het bedrijf gebruikte daarvoor zijn eigen Wiz Atlas-systeem, samen met Gemini 4 Argon en GPT-5.6 Sol. Wiz demonstreerde vervolgens succesvolle unauthenticated code execution tegen onder meer Drupal en WordPress.
Dat betekent niet dat een AI-model volledig zelfstandig PHP heeft gehackt. Menselijke onderzoekers bepaalden het onderzoeksdoel, valideerden resultaten, bouwden exploits en werkten samen met de PHP-maintainers aan oplossingen. Maar AI maakte het mogelijk om ingewikkelde geheugentoestanden en exploitketens veel sneller te onderzoeken.
Juist dat maakt deze zaak zo relevant. De onderliggende fouten bestonden al meer dan een decennium. Wat veranderde, was niet plots de broncode, maar de capaciteit om zulke complexe fouten systematisch te vinden en exploiteerbaar te maken.
Patches zijn dringend nodig
PHP bracht op 21 oktober beveiligde versies uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Het project stelt expliciet dat er geen volledige workaround bestaat en dat upgraden de enige veilige oplossing is. Voor oudere, niet langer officieel ondersteunde PHP-versies is de situatie moeilijker; organisaties moeten daar afhankelijk zijn van leveranciers die backports aanbieden of versneld migreren.
De urgentie is niet theoretisch. Cloudflare zegt aanvalverkeer tegen PHP2Shell te hebben gezien nadat informatie over de kwetsbaarheden voortijdig naar buiten kwam. Het bedrijf had vooraf WAF-regels uitgerold, maar benadrukt dat zo’n beschermingslaag patching niet vervangt.
Ook verschillende Europese organisaties en overheidsdiensten haalden websites preventief offline terwijl updates werden uitgevoerd. De NSA adviseert organisaties die niet onmiddellijk kunnen patchen zelfs om kwetsbare systemen tijdelijk uit bedrijf te nemen.
PHP2Shell laat vooral zien wat AI voor security verandert
De belangrijkste les is daarom groter dan PHP.
AI maakt het goedkoper en sneller om zeer oude software op ingewikkelde kwetsbaarheden te onderzoeken. Dat voordeel geldt voor verdedigers, maar uiteindelijk ook voor aanvallers.
OpenAI noemt PHP2Shell daarom een voorbeeld van een tijdelijke “Defender’s Window”: onderzoekers vonden de fouten eerst en kregen tijd om patches en bescherming voor te bereiden voordat grootschalige exploitatie begon. Het bedrijf zegt bovendien al andere belangrijke kwetsbaarheden te hebben gevonden waaraan nog wordt gewerkt.
PHP2Shell maakt daarmee een nieuwe realiteit zichtbaar: software die jarenlang als voldoende onderzocht gold, kan opnieuw kwetsbaar blijken zodra AI de economische grens verschuift van “te complex om praktisch uit te pluizen” naar “haalbaar om systematisch te onderzoeken.”