Twee kritieke kwetsbaarheden in PHP, een programmeertaal die wordt gebruikt door ongeveer 70% van de websites waarvan de servertechnologie bekend is, brachten overheden en andere organisaties in Europa ertoe sommige diensten uit voorzorg tijdelijk offline te halen. De fouten kunnen uitvoering van code op afstand zonder authenticatie mogelijk maken. Beveiligingsteams adviseren de beschikbare updates onmiddellijk te installeren.

(Redactie: Wereld en Europa / Technologie en cyberveiligheid)

Op 21 oktober 2026 leidde de ontdekking van twee kritieke fouten in PHP, de technologie achter een groot deel van het web, tot een dringende beveiligingsreactie. De kwetsbaarheden waren jarenlang onopgemerkt gebleven. Onderzoek met hulp van AI hielp om een theoretische zwakte om te zetten in een werkende aanvalsdemonstratie.

PHP draait achter veel websites en toepassingen, waaronder systemen die zijn gebouwd met WordPress, Drupal en Joomla. Volgens W3Techs gebruikte ongeveer 69,7% van de websites waarvan de servertaal kon worden vastgesteld PHP, in oktober 2026. Door dat brede gebruik kan een fout in PHP veel verschillende diensten raken.

Websites uit voorzorg offline

Overheden en organisaties in verschillende Europese landen schakelden tijdelijk bepaalde publiek toegankelijke diensten uit terwijl beveiligingsupdates werden voorbereid of geïnstalleerd. In Nederland ging het onder meer om overheidsportalen en websites van publieke instellingen. Ook Frankrijk, Duitsland en Finland meldden preventieve onderbrekingen. Een website offline halen betekent op zichzelf niet dat deze gehackt is.

Hoe AI hielp bij de ontdekking

De kwetsbaarheden zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619 en kregen een ernstscore van 9,2 op 10. Ze hebben betrekking op geheugenbeheer en interne statusgegevens in PHP en kunnen een niet-geauthenticeerde aanvaller in staat stellen code uit te voeren op een kwetsbare server. Tijdens een door OpenAI gefinancierde audit van de PHP-broncode gebruikte beveiligingsbedrijf Calif het GPT-5.6 Sol-model van OpenAI om een werkende aanval op afstand te ontwikkelen die op een van de zwakke plekken berustte. AI kan onderzoekers helpen complexe code te analyseren, maar vergelijkbare mogelijkheden kunnen ook aanvallers helpen.

Een race om updates te installeren

Het PHP-team bracht op 21 oktober 2026 beveiligingsupdates uit. De gepatchte versies zijn onder meer PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Raadpleeg het officiële PHP-beveiligingsbericht en de leverancier van het besturingssysteem of de hostingprovider om de juiste update te bepalen. Oudere versies ontvangen mogelijk geen updates meer van het PHP-project, al bieden sommige leveranciers teruggeporteerde patches aan.

Volgens door de media aangehaalde gegevens van Censys draaiden ongeveer 1,5 miljoen van de 2,6 miljoen waargenomen hosts PHP-versies waarvoor op het meetmoment geen oplossing beschikbaar was. Cloudflare meldde aanvalverkeer dat op klanten was gericht. Cyberveiligheidsdiensten waarschuwden dat de openbaar gemaakte technische details het aantal verkennings- en aanvalspogingen kunnen verhogen.

Wat organisaties moeten doen

Organisaties moeten alle toepassingen en diensten die PHP gebruiken in kaart brengen, de juiste beveiligingsupdate installeren en controleren of de bijgewerkte versie daadwerkelijk actief is. Als een systeem dat vanaf internet bereikbaar is niet snel kan worden bijgewerkt, adviseren beveiligingsdiensten tijdelijke isolatie van het openbare internet te overwegen. Gebruikers van beheerde hosting kunnen hun provider vragen te bevestigen dat de patch is toegepast.

Conclusie

Het PHP-incident laat zien dat veelgebruikte internetinfrastructuur voortdurend onderhoud nodig heeft. AI-ondersteunde analyse hielp kwetsbaarheden bloot te leggen die jarenlang verborgen bleven. Nu de oplossingen openbaar zijn, moeten beheerders snel handelen: controleer de PHP-versie, installeer de juiste update en beveilig systemen die vanaf internet bereikbaar zijn.