De ellende begon dinsdagmiddag met een post<\/em> op Hacker News, <\/em>een forum voor techneuten. Daarin kondigde iemand een patch <\/em>aan voor PHP, die liefst twee grote\u00a0gaten zou dichten. De \u2018pleister\u2019 zou over twee dagen worden aangekondigd. \u201eIk heb geen bewijs\u201d, stond er in het bericht<\/a>. \u201eVertrouw me maar, bro<\/em>.\u201d \u00a0<\/p>\n Het bericht was uiterst vaag en de details klopten \u2013 achteraf gezien \u2013 niet helemaal. De datum van de aankondiging was onjuist, en de ernst van het lek was niet 10 (de hoogst mogelijke score), maar 9,2. Over de oorzaak van het lek waarop de pleister geplakt moest worden: geen woord. Alleen dat het tot RCE<\/em> zou kunnen leiden: Remote Code Execution<\/em>, het uitvoeren van commando\u2019s op iemands anders systeem.\u00a0<\/p>\n Het bericht op het forum en op sociale media was genoeg om hackers \u00e9n beveiligers wereldwijd aan het werk te zetten. De een ging op zoek naar het lek in PHP, motor van 70 procent van alle websites, om dat zelf te kunnen uitbuiten. De ander probeerde het lek juist te dichten terwijl de patch nog ontbrak. In Nederland sneuvelden mediasites, DigiD.nl en zelfs de site van het NCSC, het Nationaal Cybersecuritycentrum. Die ging korte tijd uit voorzorg op zwart<\/a>.\u00a0<\/p>\n Een select groepje cybersecurity-onderzoekers wist al maanden van de grote kwetsbaarheden in PHP. Alleen waren zij er niet in geslaagd het lek stil te houden tot de patch was verschenen. Met de grote onrust tot gevolg.\u00a0<\/p>\n PHP is open source <\/em>en wordt als programmeertaal wereldwijd veel gebruikt. Beheerder is een stichting met beperkte financi\u00eble middelen, die leunt op vrijwilligers. Dat leidt tot groeiend ongemak, nu steeds geavanceerdere AI het steeds eenvoudiger maakt bugs op te sporen in inmiddels decennia oude computercode.<\/p>\n Deze zomer werd PHP dan ook opgenomen in \u2018Patch the Planet<\/a>\u2018, een initiatief van AI-gigant OpenAI, dat \u201ede kritieke opensourcesoftware moet versterken waar de wereld van afhankelijk is\u201d.\u00a0Sinds eind juli speurden beveiligingsonderzoekers van onder andere het Amerikaanse Calif al naar gaten in PHP.<\/p>\n Op 11 augustus vonden zij met behulp van de nieuwste AI-frontier-<\/em>modellen, de eerste van uiteindelijk twee lekken in PHP. Toen volgde \u2013 in vaktermen \u2013 een coordinated vulnerability disclosure<\/em>. Het lek moet dan stap voor stap geverifieerd worden, een pleister moet worden bedacht, gemaakt en getest, en daarna moet een plan worden opgesteld om die snel te verspreiden onder \u00e1lle gebruikers en versies van de systemen.<\/p>\n Het is een race tegen de klok. Zolang de patch niet verspreid is, zijn immers alle systemen kwetsbaar. Geheimhouding is cruciaal; als ook maar iets uitlekt, kunnen hackers gericht zoeken naar de gaten. En als ze die vinden en succesvol weten uit te buiten v\u00f3\u00f3r de patch beschikbaar is, volgt een doemscenario: alle systemen zijn kwetsbaar, en een sluitende oplossing ontbreekt. En AI maakt lekken vinden steeds makkelijker.<\/p>\n Deze week ging dat mis en dreigde het lek z\u00e9lf uit te lekken. \u201eDe geco\u00f6rdineerde disclosure<\/em> verliep goed, tot twee dagen voor de geplande publicatiedatum van de patch\u201d, schreef de PHP-stichting woensdagmiddag<\/a>. Nadat de naderende patch was uitgelekt, besloot de stichting de aankondiging ervan \u00e9n de patch zelf te vervroegen. \u201eDat was het beste compromis tussen snel handelen, mensen tijd geven om voorbereidingen te treffen, en ervoor zorgen dat iedereen vervolgens snel kon updaten.\u201d\u00a0<\/p>\n Vervolgens publiceerde Calif dinsdagavond per ongeluk een video die het lek demonstreerde. Die toonde, onder een stevige beat en met dansende cartoonpoppetjes<\/a>, hoe de beveiliging van het ene na het andere PHP-platform \u2013 WordPress, MediaWiki, phpBB, Magento \u2013 binnen luttele seconden bezweek. De video liet zo de kwetsbaarheid zien van talloze websites en webwinkels die deze platformen gebruiken.<\/p>\n Hoewel de video vaag was, bevatte hij w\u00e9l aanknopingspunten voor hackers. Uren voor publicatie van de patch schond een beveiligingsbedrijf ook nog eens het embargo door deze al te verspreiden \u2013 ook naar alle aanvallers, die meekeken. \u201eHiermee werd weken werk door vele partijen ongedaan gemaakt\u201d, meldde de stichting achter PHP.\u00a0\u00a0\u00a0<\/p>\n Door alle lekken zag Cloudflare, dat grote delen van het internet beveiligt, al duizenden pogingen om de kwetsbaarheid te misbruiken in de uren v\u00f3\u00f3r de patch publiek zou worden. \u201eDat sprong naar tienduizenden in de 45 minuten na de [offici\u00eble] aankondiging [van de patch], naar honderdduizenden binnen twee uur, naar miljoenen nu\u201d, zei Cloudflare-ceo Matthew Prince donderdag op X<\/a>.<\/p>\n Mogelijk lekten details van de hack nog eerder uit. AWS Security, de beveiligingstak van de Amerikaanse cloudgigant Amazon, detecteerde al op 17 oktober<\/a> een poging om het lek in PHP te misbruiken.\u00a0Dat was vier dagen voor de aankondiging.<\/p>\n De vraag is hoe makkelijk het lek in PHP \u00e9cht uit te buiten is. Hoewel online allerlei scripts rondgaan waarmee ingebroken kan worden, en er veel \u2018aanvalsverkeer\u2019 gezien wordt, heeft het Nederlandse Cybersecuritycentrum na onderzoek nog geen succesvol misbruik gezien, meldde het donderdagmiddag<\/a>. \u201eDat sluit toekomstig misbruik niet uit. E\u00e9n werkende variant kan voldoende zijn om aanvallen op grotere schaal mogelijk te maken.\u201d\u00a0<\/p>\n Zonder AI was het lek niet eenvoudig uit te buiten geweest, schreef cybersecuritybedrijf Wiz (een andere betrokken partij) in een onderzoeksrapport<\/a>. Want simpel is dat inderdaad niet. \u201eOm de fouten te misbruiken is een zeer complexe serie handelingen nodig, op de grens van wat menselijke onderzoekers in de praktijk kunnen uitvoeren.\u201d<\/p>\n De specifieke kwetsbaarheid in PHP werd in 2020 en 2024 al gedetecteerd, maar tot een oplossing kwam het nooit. Door beperkte capaciteit en onenigheid bleef een oplossing te lang liggen, erkende de PHP-stichting woensdag.\u00a0\u201eWe ontkennen niets. De vertraging was een structurele tekortkoming, veroorzaakt door ons besluitvormingsproces en een gebrek aan middelen.\u201d<\/p>\n De zwakke plekken in PHP hebben hun oorsprong in de manier waarop de programmeertaal computergeheugen aanwendt, schrijft Wiz. Zulke aanvallen zijn notoir lastig te generaliseren, want iedere PHP-installatie is net anders. Maar AI maakt daar nu korte metten mee, aldus Wiz. Kwetsbaarheden die ooit onmogelijk of te tijdrovend waren voor misbruik, kunnen dankzij AI toch benut worden, waarschuwt het bedrijf. \u201eTegelijkertijd geven deze mogelijkheden ook verdedigers de kans om fouten te ontdekken die jarenlang niet opgemerkt zijn.\u201d<\/p>\n Achteraf is het altijd makkelijk praten, zegt cybersecurity-expert Matthijs Koot. \u201eHet rommelige traject heeft wel bijgedragen aan de paniek en de chaos. Maar ook zonder alle ruis is het vaak even rennen en gillen voordat alles gepatcht is. Als het lek inderdaad lastig uit te buiten is, dan is dat een meevaller, want alles wees op het tegendeel: het aanvalsverkeer dat Cloudflare al vroeg zag en de hoge scores die de kwetsbaarheid kreeg toegekend.\u201d<\/p>\n We zijn door het oog van de naald gekropen, zegt Koot. \u201eHet verschijnen van exploit code<\/em> voordat de patch er is, is een horrorscenario. \u201d<\/p>\n \n\t\t\t\tLees ook\n\t\t\t<\/p>\n De problemen rond programmeertaal PHP worden het ernstigste cyberlek in jaren genoemd. Wat is er aan de hand?<\/span>\n<\/div>\n \n\t\t\tBij Google kan je nu zelf aangeven welke nieuwsbronnen jij vaker wil zien in je zoekresultaten.Patch the planet<\/h2>\n
\u2018E\u00e9n werkende variant is genoeg\u2019<\/h2>\n
\n![\"De](\"https:\/\/images.nrc.nl\/03yH5NZE58_APKRA7ll56wwNj9o=\/160x96\/smart\/filters:no_upscale():format(webp)\/s3\/static.nrc.nl\/wp-content\/uploads\/2026\/10\/21120949\/211026ECO_2037654017_php.jpg\")
\n<\/a><\/p>\nMaak NRC jouw voorkeursbron op Google<\/h2>\n
\n\t\t\t\tMeer informatie<\/a>\n<\/p>\n