Kritieke PHP-kwetsbaarheden brengen miljoenen websites wereldwijd in gevaar

Bijgewerkt 23-10-2026.

Beveiligingsonderzoekers hebben twee kritieke PHP-kwetsbaarheden ontdekt waarmee aanvallers commando's op webservers op afstand zouden kunnen uitvoeren. Kunstmatige intelligentie speelde een belangrijke rol bij het opsporen van de fouten en het aantonen van hun ernst. Tientallen bedrijven en overheidsdiensten wereldwijd namen hun websites tijdelijk offline terwijl beveiligingsupdates werden toegepast. Ondertussen heeft Cloudflare al miljoenen pogingen tot misbruik geregistreerd, en dat aantal zal waarschijnlijk blijven stijgen.

Tientallen websites tijdelijk offline in meerdere landen terwijl Cloudflare miljoenen aanvalspogingen registreert

Op 21-10-2026 begonnen overheidswebsites en online dienstverlening in meerdere landen als noodmaatregel af te schakelen. De oorzaak waren twee kritieke kwetsbaarheden in PHP, een programmeertaal die door bijna 70% van de websites wereldwijd wordt gebruikt. De kwetsbaarheden, aangeduid als CVE-2026-109618 en CVE-2026-109619 en gezamenlijk bekend als PHP2Shell, kunnen in bepaalde omstandigheden aanvallers in staat stellen kwaadaardige code op servers op afstand uit te voeren.

In Nederland waren overheidsportalen voor e‑dienstverlening tijdelijk niet bereikbaar, terwijl ook meerdere diensten van overheidsinstanties in Finland werden getroffen. Vergelijkbare maatregelen werden genomen in Frankrijk, Duitsland, België en andere landen. De onderbrekingen troffen daarnaast websites van ziekenhuizen, onderwijsinstellingen en private bedrijven.

Organisaties beperkten de toegang tot hun websites om ze te beschermen tegen potentiële aanvallen totdat beveiligingsupdates konden worden geïnstalleerd. Hun zorgen waren terecht: cybercriminelen waren al begonnen met pogingen om de kwetsbaarheden te misbruiken voordat de problemen publiek werden bekendgemaakt. Tien uur voor de officiële bekendmaking had Cloudflare meerdere duizenden registraties van misbruikpogingen. Na de publieke onthulling nam de kwaadaardige activiteit dramatisch toe. Binnen de eerste 45 minuten bereikten de pogingen tienduizenden. Na twee uur was het aantal honderden duizenden. Op 22-10-2026 waren er miljoenen pogingen tot misbruik geregistreerd.

AI hielp de ernst van een PHP-kwetsbaarheid aantonen die voor het eerst in 2024 werd geïdentificeerd

PHP-ontwikkelaars merkten de eerste aanwijzingen voor een van de kwetsbaarheden al in 2024 op. Na een onafhankelijke beveiligingsaudit identificeerden onderzoekers een probleem met geheugenbeheer en vermoedden dat het mogelijk uitgebuit kon worden. Destijds konden zij echter niet aantonen dat de kwetsbaarheid tot remote code execution kon leiden. Het oplossen van het probleem werd uitgesteld omdat wijzigingen de compatibiliteit van PHP met andere componenten konden verstoren en het kleine ontwikkelteam niet over de middelen beschikte om zo'n complex probleem direct aan te pakken.

De situatie veranderde in de zomer van 2026 toen kunstmatige intelligentie werd ingezet in het onderzoek. Op 11-08-2026 bevestigde een onderzoeker uit Californië met het GPT-5.6 Sol‑model dat de kwetsbaarheid ongeauthentiseerde remote code execution (RCE; uitvoeren van code op afstand) op een server mogelijk kon maken. De onderzoeker rapporteerde de bevindingen aan de PHP-ontwikkelaars. Diezelfde dag diende OpenAI onafhankelijk ook een rapport in waarin hetzelfde probleem werd genoemd. Onderzoekers bij Wiz presenteerden later hun bevindingen en gebruikten daarbij meerdere AI-tools, waaronder Gemini 4 Argon. Deze AI-modellen hielpen onderzoekers bij het analyseren van broncode, het ontwikkelen van proof‑of‑concepts (PoC) voor aanvallen en het testen van mogelijke fixes.

Zodra onderzoekers de ernst van de kwetsbaarheden hadden aangetoond, werd patchen een prioriteit voor de PHP Foundation. Op 21-10-2026 brachten de PHP-onderhouders gepatchte versies uit: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Beide kwetsbaarheden, elk met een ernstscore van 9,2 op 10, zijn in deze releases opgelost.

Hoe u uw websites beschermt in het tijdperk van AI

Kunstmatige intelligentie helpt beveiligingsonderzoekers softwarekwetsbaarheden sneller te identificeren, inclusief fouten die jaren onopgemerkt bleven. Zo werden in het tweede kwartaal van 2026 wereldwijd ongeveer 2.700 kritieke kwetsbaarheden ontdekt, een stijging van 34% vergeleken met dezelfde periode het jaar daarvoor. Experts wijten een deel van deze stijging aan het groeiende gebruik van AI, dat het mogelijk maakt grote hoeveelheden broncode efficiënter te analyseren.

Cybercriminelen kunnen AI echter ook gebruiken om nieuw ontdekte kwetsbaarheden sneller te onderzoeken en aanvalsmethoden te ontwikkelen. Daardoor hebben organisaties steeds minder tijd tussen de publieke bekendmaking van een kwetsbaarheid en de eerste misbruikpogingen.

Om de beveiliging van websites te verbeteren, moeten website-eigenaren en serverbeheerders de volgende stappen nemen:

• Houd beveiligingsreleases in de gaten en installeer updates direct. Wanneer een kritieke kwetsbaarheid wordt bekendgemaakt, is het essentieel de relevante beveiligingspatch zo snel mogelijk toe te passen. Voor PHP2Shell moeten website-eigenaren PHP bijwerken naar een veilige versie. Als directe update niet mogelijk is, beperk dan tijdelijk de publieke netwerktoegang tot de kwetsbare dienst.
• Bescherm websites tegen misbruikpogingen. Gebruik web application firewalls (WAFs) om binnenkomende verzoeken te analyseren en kwaadaardig verkeer te blokkeren. Bijvoorbeeld gebruikt Kaspersky's WAF machine learning en filterregels om verdachte verzoeken te identificeren, inclusief pogingen om kwetsbaarheden in webapplicatiecode te misbruiken. Deze bescherming verkleint het risico op aanvallen terwijl beheerders beveiligingspatches uitrollen.
• Controleer serverbeveiliging en softwareversies. Controleer regelmatig de versies van geïnstalleerde software, inclusief applicaties en diensten die ouder of zelden gebruikt worden. Dit helpt systemen te identificeren die belangrijke beveiligingsupdates hebben gemist.

Gerelateerde artikelen:

• Wat is een zero-day-aanval? Definitie en uitleg
• Hoe AI en machine learning in cybersecurity de toekomst vormgeven
• Wat zijn webbedreigingen?

Aanbevolen producten:

• Kaspersky Premium
• Download een gratis proefversie van Kaspersky Premium (30 dagen)
• Kaspersky Small Office Security