De PHP-crisis laat zien hoe AI de spelregels van cybersecurity voorgoed verandert

In dit artikel:

Twee kritieke kwetsbaarheden in PHP, samen PHP2Shell genoemd, maakten op woensdag 21 oktober 2026 tijdelijk meerdere Nederlandse overheidswebsites onbereikbaar. DigiD, MijnOverheid, Overheid.nl, TweedeKamer.nl en de Belastingdienst gingen uit voorzorg offline; ook Tweakers haalde zijn site tijdelijk uit de lucht. De lekken kregen van het PHP-beveiligingsteam een ernstscore van 9,2 op 10. Een aanvaller kon er zonder inloggen op afstand code mee uitvoeren en mogelijk wachtwoorden, tokens, API-sleutels en certificaten uit andere verzoeken buitmaken. Inmiddels zijn beveiligingsupdates beschikbaar en zijn de meeste diensten weer online, maar niet iedere server is al bijgewerkt.

Het probleem zat in de manier waarop PHP geheugen opruimt wanneer een verzoek onverwacht wordt afgebroken, bijvoorbeeld door een geheugentekort. Daardoor konden gegevens die al waren vrijgegeven of niet goed waren klaargezet opnieuw worden gebruikt. Volgens beveiligingsbedrijf Sansec werden alle webservers met PHP 5.4 of nieuwer geraakt; die versie stamt uit 2012. PHP vormt nog altijd de basis voor grote platforms als WordPress, Drupal, Joomla en Magento.

De kwetsbaarheden kwamen in korte tijd onafhankelijk van elkaar aan het licht bij Calif, OpenAI en Wiz. Calif en OpenAI meldden de kern van het probleem op 11 augustus bij PHP. Wiz rapporteerde op 24 augustus aanvullende aanvalsroutes en liet zien dat standaardinstallaties van WordPress, Drupal en Joomla zonder inlog konden worden aangevallen. Daarbij werden onder meer Gemini 4 Argon van Google, Wiz Atlas en GPT-5.6 Sol van OpenAI gebruikt. De AI-modellen hielpen onderzoekers bestaande code te analyseren en werkende aanvalsketens te ontwikkelen, waardoor werk dat vroeger veel tijd en specialistische kennis kostte aanzienlijk sneller ging.

De PHP Foundation erkende dat tijdens een externe audit van PHP in 2024 al aanwijzingen voor een van de lekken waren gevonden. Onderzoekers van Quarkslab konden toen wel een theoretische aanval beschrijven, maar geen concrete methode aantonen. Mogelijke oplossingen konden bestaande software breken, nieuwe denial-of-service-aanvallen veroorzaken of aanpassingen aan extensies van derden vereisen. Door beperkte middelen en moeizame besluitvorming bleef een oplossing maanden liggen. Volgens de stichting was dat een structureel falen. Pas nadat Calif aantoonde dat het lek tot code-uitvoering op afstand kon leiden, kreeg het probleem de hoogste prioriteit.

Ook de openbaarmaking verliep chaotisch. De CVE-nummers en een aanvankelijk onjuiste ernstscore lekten op 20 oktober uit, samen met een screenshot van aanvalstool PHP2Shell. Daarna verschenen een video met de volledige aanvalsketen en voortijdig gepubliceerde software-images met de oplossing. De PHP Foundation bracht de updates daarom een dag eerder uit dan gepland, op 21 oktober om 14.00 uur UTC. Beheerders kregen daardoor minder voorbereidingstijd, maar aanvallers konden minder lang profiteren van gedeeltelijk openbare informatie.

Cloudflare had al eerder beschermingsmaatregelen voorbereid en klanten vanaf ruim negen uur voor de officiële bekendmaking via de webfirewall beschermd. Beveiligingsbedrijven zagen vervolgens actieve aanvalspogingen, hoewel nog geen geslaagde inbraak is bevestigd. Er circuleren proof-of-concepts op GitHub, maar die blijken vooralsnog niet aantoonbaar te werken en kunnen zelf schadelijke code bevatten.

De crisis laat volgens het artikel vooral zien dat AI zowel verdedigers als aanvallers sneller maakt. De gebruikte modellen zijn commercieel beschikbaar en kunnen kwetsbaarheden vinden, code begrijpen en helpen bij het maken van aanvallen. Dat verlaagt de drempel en maakt ook ingewikkelde systemen economisch aantrekkelijker als doelwit. Tegelijkertijd blijft het herstellen van een gevonden fout afhankelijk van kleine teams met gespecialiseerde kennis. Een AI-scan kan snel een mogelijk lek signaleren, maar mensen moeten de ernst controleren, een veilige oplossing ontwerpen en die wereldwijd uitrollen.

Dat probleem geldt voor veel opensourcesoftware waarop overheden, banken en bedrijven leunen. De PHP Foundation vraagt daarom om meer financiële steun van organisaties die van PHP afhankelijk zijn. Een eerdere veiligheidsaudit was alleen mogelijk dankzij Duitse overheidssubsidie. Voor beheerders geldt intussen dat internetbereikbare PHP-systemen als kwetsbaar moeten worden beschouwd totdat ze zijn bijgewerkt. Versies ouder dan PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 zijn getroffen. Systemen die niet kunnen worden bijgewerkt, kunnen volgens het Britse NCSC beter offline worden gehaald.

PHP2Shell is daarmee niet alleen een incident rond één programmeertaal. AI kan de opsporing van fouten versnellen en verdedigers helpen, maar zonder extra investeringen in onderhoud, beveiligingsteams en betrouwbare updateprocessen ontstaat een gevaarlijke kloof: kwetsbaarheden worden binnen uren gevonden, terwijl reparaties en brede uitrol nog maanden kunnen duren.