Beveiligingsbedrijf Wiz Research onthulde op 21 oktober 2026 een reeks kritieke kwetsbaarheden in de kern-PHP-engine en waarschuwde dat de fouten – gezamenlijk PHP2Shell genoemd – niet-geverifieerde uitvoering van externe code en Heartbleed-stijl geheugenvrijgave mogelijk maken op de software die naar schatting 70 procent van alle websites aanstuurt. Het PHP-project bracht dezelfde dag nog patches uit, en Wiz dringt aan op onmiddellijke updates van de enorme geïnstalleerde basis van het internet.
PHP is de ruggengraat van een groot deel van het internet: het ondersteunt WordPress, Joomla, Drupal en MediaWiki, de software waarop Wikipedia draait. Cruciaal is dat de nieuw onthulde bugs zich in de kernengine van PHP bevinden, en niet in een applicatie die er bovenop is gebouwd. Dit betekent dat sites zelfs kunnen worden blootgesteld als hun eigen applicatiecode veilig is. Voor meer context over dit verhaal, zie ons AI-nieuws.
Wat de kwetsbaarheden zijn
Volgens het technische artikel van Wiz door onderzoekers Sagi Tzadik, Shir Tamari, Nir Ohfeld en Tomer Schwartz zijn alle onthulde bugs geheugenveiligheidsproblemen die hun oorsprong vinden in de manier waarop PHP omgaat met fatale fouten tijdens de verwerking van verzoeken, met name fouten die te maken hebben met onvoldoende geheugen. Een gecrasht verzoek kan een beschadigde interne PHP-status achterlaten, en een later verzoek of een werker die deze verouderde status hergebruikt, kan geheugenvrijgave of geheugenbeschadiging veroorzaken.
De bevindingen zijn gegroepeerd onder twee CVE’s met een maximale ernst van CVSS 9.2:
- CVE-2026-109618 — een upload-progress unserializer use-after-free die een aanvaller kan gebruiken voor het op afstand vrijgeven van procesgeheugen en, in gedemonstreerde ketens, volledige uitvoering van code op afstand. Wiz demonstreerde niet-geverifieerde openbaarmaking van PHP-werkergeheugen en pre-authenticatie RCE op WordPress, Drupal en Joomla.
- CVE-2026-109619 — een backtrace use-after-free met fatale fouten gecombineerd met verwarring van het OPcache-type, waarvan ook is aangetoond dat het pre-authenticatie op afstand van code-uitvoering op Drupal en WordPress oplevert.
Het geheugen dat aanvallers kunnen lezen, kan wachtwoorden, authenticatietokens, API-sleutels en certificaten bevatten die bij andere verzoeken of bij de server zelf horen, aldus Wiz. Elke PHP-versie die in de afgelopen tien jaar is uitgebracht – teruggaand tot PHP 5.4 – wordt getroffen door ten minste één van de kwetsbaarheden, en het bedrijf zegt dat deze tot de ernstigste fouten behoren die ooit in PHP zijn gevonden.
Waar AI binnenkomt
De meest consequente bewering in het rapport van Wiz gaat helemaal niet over PHP – het gaat over wat grensverleggende AI-modellen hebben gedaan om de ontwikkeling te exploiteren.
De onderliggende tekortkomingen, zo schrijft Wiz, waren al tientallen jaren aanwezig, maar het bewijzen van de exploiteerbaarheid vereiste 'een uitzonderlijk complexe reeks stappen, aan de rand van wat menselijke onderzoekers praktisch konden bereiken'. De exploit moest meerdere fouten aan elkaar koppelen en zich aanpassen aan de geheugenindeling van elk doelwit door herhaaldelijk testen en debuggen.
Frontier AI-modellen, zegt het bedrijf, hebben die barrière substantieel verminderd – “waardoor een al lang bestaande fout in een exploit werd omgezet” – en stelden het team van Wiz in staat om werkende exploits voor meerdere applicaties in uren in plaats van weken te ontwikkelen en aan te passen.
"Naarmate de tijd en expertise die nodig zijn voor dit werk afnemen, vormt complexiteit mogelijk niet langer een betekenisvolle barrière, waardoor de manier verandert waarop we definiëren wat kwetsbaar is in de praktijk", schreven de onderzoekers.
Een keerpunt in het AI-tijdperk?
Wiz plaatst PHP2Shell expliciet naast twee eerdere keerpunten op het gebied van webbeveiliging: Heartbleed in 2014, dat de kwetsbaarheid van de gedeelde infrastructuur die het internet beveiligt blootlegde, en Log4Shell in 2021, dat onthulde hoe diep ingebedde software-afhankelijkheden voor wijdverspreide bekendheid zorgen. Het bedrijf beweert dat PHP2Shell een soortgelijk keerpunt zou kunnen markeren – dit keer illustrerend hoe AI de praktische exploiteerbaarheid van al lang bekende zwakke punten verandert.
Die framing is belangrijker dan PHP. Theoretische kwetsbaarheden die veilig buiten bereik waren omdat het exploiteren ervan te moeilijk, te langzaam of te gespecialiseerd was, kunnen nu binnen het bereik zijn van goed uitgeruste aanvallers die gewapend zijn met AI-tools – een verschuiving met duidelijke gevolgen voor defensiebudgetten, patchfrequenties en tijdlijnen voor openbaarmaking in de software-industrie.
Een gecoördineerde oplossing voor meerdere sectoren
De openbaarmaking werd gecoördineerd. Wiz bedankte het PHP-team en OpenAI voor hun werk op het gebied van ontdekking, coördinatie en patchverificatie, en merkte op dat zowel OpenAI als PHP hun eigen technische beschrijvingen publiceerden van de geschiedenis van de kwetsbaarheid en het openbaarmakingsproces.
Een brancheoverschrijdende groep – waaronder Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft en Vercel – heeft richtlijnen en kant-en-klare oplossingen opgesteld voor klanten die niet onmiddellijk kunnen patchen. Cloudflare heeft op 21 oktober afzonderlijk aangekondigd dat het WAF-bescherming tegen de PHP-kwetsbaarheden voor zijn klanten heeft geïmplementeerd.
Wat site-eigenaren moeten doen
Het advies van Wiz is bot: onmiddellijk patchen. Het PHP-project heeft op 21 oktober 2026 oplossingen uitgebracht voor de kwetsbaarheden op het gebied van geheugenveiligheid, en elke ondersteunde PHP-implementatie zou zo snel mogelijk moeten worden bijgewerkt.
Organisaties die niet meteen kunnen patchen, moeten de maatregelen toepassen die zijn gepubliceerd door hun CDN-, hosting- of WAF-providers, waarvan er verschillende vanaf dag één regels hebben opgesteld die zich op de exploitketens richten. Beheerders van WordPress-, Drupal- en Joomla-parken zouden dit als een prioriteitspatchcyclus moeten beschouwen: Wiz demonstreerde pre-authenticatie van externe code-uitvoering op alle drie de platforms, en de kwetsbare codepaden bestaan ongeacht hoe goed onderhouden de applicaties erboven zijn.
De diepere les is misschien wel die van Wiz zelf: wanneer AI maanden van exploit-engineering in uren kan samenpersen, is de werkdefinitie van de industrie van 'praktisch exploiteerbaar' – en daarmee de betekenis van tijdlijnen voor verantwoord patchen – zojuist veranderd.
---
Blijf Voorop met AIHet laatste AI-nieuws, analyses en doorbraken — allemaal op één plek.
Lees meer AI-nieuws →
