Ai-tools leggen tien jaar oude php-fouten bloot die wereldwijde website-uitval veroorzaken

Overheden, banken en luchtvaartmaatschappijen zetten diensten offline terwijl onderzoekers zich haasten om kritieke kwetsbaarheden te verhelpen in de taal achter het grootste deel van het web

Overheden en grote bedrijven namen donderdag snel maatregelen tegen twee ernstige beveiligingslekken in PHP, een programmeertaal die door bijna 70 procent van de websites wordt gebruikt. Organisaties in Europa, Azië en Amerika namen sites offline als voorzorgsmaatregel tijdens het aanbrengen van de fixes.

Preventieve afsluitingen verspreiden zich over meerdere continenten

Banken, luchtvaartmaatschappijen en overheidsdiensten in landen als Oostenrijk, Nederland, Finland, Frankrijk, Denemarken, Australië, Canada, Duitsland, Japan en België schortten woensdag de online toegang op. In de Verenigde Staten coördineerde het Witte Huis met federale instanties en exploitanten van kritieke infrastructuur. Meer dan dertig Britse overheidsdiensten bleven donderdag offline terwijl patches werden toegepast, aldus Elizabeth Lloyd, de Britse minister voor ruimtevaart, cyber en regulatoire hervorming.

Japanse instellingen waaronder Mizuho Financial Group, Shizuoka Bank en Mitsubishi UFJ Financial Group stopten met geselecteerde online diensten. De Franse telecomoperator Orange onderbrak de toegang tot enkele websites en applicaties tijdens het updateproces.

AI versnelt ontdekking van lang verborgen kwetsbaarheden

Onderzoekers bij Wiz, het door Alphabet overgenomen cybersecuritybedrijf, identificeerden de fouten met hulp van meerdere ai-tools en in samenwerking met OpenAI en het bedrijf Calif. De kwetsbaarheden waren meer dan tien jaar onopgemerkt gebleven. Een rapport van het team vermeldde dat één onderzoeker het werk in één week afrondde met geavanceerde ai-modellen, een taak die eerder een wereldklasse team enkele maanden zou hebben gekost.

Met geavanceerde ai-modellen en de juiste tools rondde één onderzoeker in een week af wat eerder een wereldklasse team maanden werk zou hebben gekost.

— Wiz-onderzoekers, Wiz-rapport over php-kwetsbaarheden

Pogingen tot misbruik stijgen direct na openbaarmaking

Matthew Prince, chief executive van Cloudflare, meldde dat het bedrijf tienduizenden pogingen tot misbruik detecteerde tien uur voordat de fouten publiek werden gemaakt. Binnen twee uur na openbaarmaking bereikten de pogingen honderdduizenden en later miljoenen. Prince vertelde Bloomberg TV dat miljoenen aanvalspogingen met de fout per minuut werden waargenomen op het netwerk.

Het is nog onduidelijk of een van de pogingen erin slaagde systemen te doorbreken. Onderzoekers van Amazon merkten apart op dat een onbekende dreigingsactor vooraf informatie over de kwetsbaarheden had verkregen en deze probeerde te gebruiken vóór de publieke openbaarmaking.

Schaal van blootstelling en uitdagingen bij het patchen

Meer dan 22 miljoen blootgestelde php-instanties bestaan op servers, databases en applicaties. Meer dan een derde van die kwetsbare systemen draait verouderde versies die de nieuwe patches niet kunnen ontvangen, aldus Jack Hughes van Palo Alto Networks Unit 42. Php-ontwikkelaars brachten woensdag updates uit en drongen aan op directe toepassing.

De fouten kunnen aanvallers in staat stellen de controle over getroffen sites over te nemen. Experts waaronder Matt Hull van NCC Group waarschuwden dat sommige systemen mogelijk al backdoors bevatten die zijn aangemaakt voordat de patches werden toegepast.

Breder perspectief op stijgende kwetsbaarheidsmeldingen

Het aantal bekende softwarekwetsbaarheden dat in 2026 wordt gemeld, is op weg om ongeveer het dubbele te worden van het totaal uit 2025, volgens de Amerikaanse National Vulnerabilities Database. Veel van de dit jaar nieuw gevonden problemen werden geïdentificeerd door de technologiebedrijven zelf in plaats van externe onderzoekers, en er is tot nu toe geen brede toename in succesvolle cyberaanvallen vastgesteld.

Tags bij dit artikel