Achtergrond - Tijdlijn: hoe kon het gebeuren dat sites offline moesten door de PHP-lekken?

In dit artikel:

Een kwetsbaarheid in PHP die al jaren bekend was, kreeg in 2026 plots grote gevolgen nadat beveiligingsonderzoekers er met hulp van AI werkende exploits voor ontwikkelden. De fout was eerder tijdens een audit gemeld, maar bleef liggen omdat misbruik niet kon worden aangetoond en een reparatie mogelijk compatibiliteitsproblemen en nieuwe risico’s zou veroorzaken.

In augustus meldden Calif en later OpenAI en Wiz manieren om de kwetsbaarheid op afstand te misbruiken. Wiz bevestigde de ernst met werkende scenario’s voor onder meer WordPress en Drupal. De betrokken partijen spraken een gecoördineerde openbaarmaking af, zodat PHP-ontwikkelaars, Linux-distributeurs en andere leveranciers tegelijk een oplossing konden aanbieden. De publicatie stond gepland voor 22 oktober om 16.00 uur Nederlandse tijd.

Dat plan raakte verstoord toen de CVE-nummers op 20 oktober voortijdig online verschenen. Hoewel er aanvankelijk weinig technische informatie beschikbaar was, volgde kort daarna een video van Calif met aanwijzingen over de locatie van de fouten. De PHP Foundation waarschuwde daarop publiekelijk en bracht de release naar voren. Vervolgens publiceerde Chainguard, dat PHP-images aanbiedt, de gepatchte binaries uren vóór het afgesproken moment. Daardoor konden aanvallers de oplossing bestuderen terwijl veel andere beheerders nog geen officiële update hadden.

De beperkte informatie bleek voldoende om veel onderzoekers aan het werk te zetten. Omdat een werkende exploit mogelijk snel kon worden gemaakt, haalden talrijke bedrijven, overheden en andere organisaties hun websites of diensten uit voorzorg offline. Ook Tweakers was tijdelijk niet bereikbaar. De patch verscheen op 21 oktober in de middag en werd verwerkt in PHP en verschillende softwarepakketten en besturingssystemen. Sites met recente PHP-versies konden daarna herstellen; voor oudere versies was niet direct overal een update beschikbaar. Een aanvullende fout bleek later niet kritiek, maar sommige diensten, waaronder bepaalde NAS-systemen, bleven nog enige tijd kwetsbaar.

Het incident laat volgens de betrokkenen zien dat AI de snelheid waarmee kwetsbaarheden worden gevonden en misbruikt sterk kan verhogen. Daardoor kan zelfs een korte periode tussen een voortijdige onthulling en de officiële patch al gevaarlijk zijn. OpenAI verwacht meer vergelijkbare vondsten en pleit voor een aanpak die op die hogere snelheid is ingericht. Tegelijkertijd heeft het bedrijf er commercieel belang bij om AI-beveiligingsdiensten aan te bieden. De directe oorzaak van de crisis lag echter bij menselijke fouten: een te vroeg gedeelde video en het verbreken van het patch-embargo.