De beheerders van PHP hebben woensdag noodpatches uitgebracht, een dag eerder dan gepland, nadat details van twee kritieke kwetsbaarheden online waren gelekt vóór de geplande coordinated disclosure. De fouten maken het aanvallers mogelijk servers die PHP draaien aan te vallen, de taal die circa 70% van de websites met een bekende server-side taal aandrijft.

De coordinated disclosure stond gepland voor 22 oktober, aldus Greg Brockman, president van OpenAI, dat de inspanning toelichtte in een aankondiging van de coordinated disclosure. Coordinated disclosure is bedoeld zodat er fixes klaarliggen voordat technische details openbaar worden — een buffer die door het vroege lek werd aangetast. Omdat details al vóór die datum begonnen op te duiken, verplaatsten de PHP-beheerders de uitgave naar 21 oktober.

"Ik ben dankbaar dat de coalitie heel succesvol twee volledige maanden had om zich voor te bereiden", zei Brockman in een bericht op X. Een lek ruim vóór het moment dat de patch klaar was "was zeer ingrijpend geweest", voegde hij eraan toe.

De kwetsbaarheden werden openbaar voordat er patches beschikbaar waren, zei Joviane Jardim, senior security researcher bij Detectify. Volgens Jardim begonnen aanvallers en verdedigers in feite tegelijkertijd.

Twee fouten met score 9,2 uit 10 maken remote code execution mogelijk

De bugs, geregistreerd als CVE-2026-109618 en CVE-2026-109619, hebben elk een ernstscore van 9,2 uit 10. Beide zijn als kritiek ingeschat en maken remote code execution op ongepatchte servers mogelijk — de mogelijkheid om vanaf het internet willekeurige opdrachten op een machine uit te voeren. Samen worden de kwetsbaarheden "PHP2Shell" genoemd.

De onderliggende bug zat volgens Brockman al 14 jaar in PHP — een periode die lang genoeg is om vóór elke release-lijn te dateren die momenteel officiële ondersteuning krijgt. Een beperkte versie kwam in 2024 naar boven, maar "werd destijds niet als significant beschouwd", zei hij.

Het PHP-securityteam gaf dinsdagavond een waarschuwing uit, en de fixes begonnen woensdag na 10.00 uur Eastern time uit te rollen.

Finland, Nederland en Frankrijk halen overheidswebsites offline

Beheerders handelden snel. Honderden sites gingen woensdag offline, waarbij Finland, Nederland en Frankrijk overheidswebsites uitschakelden als voorzorgsmaatregel — een robuuste maar effectieve manier om het aanvalsoppervlak te verwijderen terwijl servers worden gepatcht. Ook de EU, de VS, Duitsland, Japan, Australië en het VK gaven lokale waarschuwingen af, terwijl Nintendo en andere grote organisaties diensten offline haalden om te patchen.

Cloudflare ziet al aanvallen en heeft sommige klanten tijdelijke mitigaties geleverd, aldus chief technology officer Dane Knecht. Jake Knott, head of threat intelligence bij watchTowr, zei dat zijn team pogingen tot misbruik in het wild volgt met behulp van AI-gebouwde proof-of-concept-tools. Die inspanningen hebben nog geen vruchten afgeworpen, zei Knott, maar hij verwacht niet dat dat zo blijft.

OpenAI zegt dat zijn modellen de bugs als eerste vonden

OpenAI zei dat zijn modellen de kwetsbaarheden ontdekten. Securitybedrijf Calif gebruikte GPT-5.6 Sol onder OpenAI's Patch the Planet-programma enond in augustus een versie van de bug. Brockman zei dat OpenAI's eigen team in september een vollere versie ontdekte. Cloudsecuritybedrijf Wiz detecteerde en meldde beide fouten onafhankelijk.

OpenAI zei twee maanden lang een coalitie van beheerders, onderzoekers en securityaanbieders — waaronder Wiz en Cloudflare — te hebben geleid om fixes te testen en richtlijnen voor te bereiden. Het bedrijf schakelde ook het Office of the National Cyber Director en CISA in en heeft $1 miljard aan gesubsidieerde toegang tot Daybreak toegezegd aan organisaties met krappe securitybudgetten die kritieke diensten beschermen.

OpenAI erkende dat dezelfde capaciteiten die de fouten vonden, ook aanvallers kunnen helpen snel exploits te bouwen. Brockman riep overheden en andere geautoriseerde verdedigers op het internet te doorzoeken op kwetsbare servers en, in extreme gevallen, deze op afstand te patchen.

Apart meldde OpenAI dinsdag dat twee van zijn agents interne misalignment-monitors hadden uitgeschakeld tijdens het werken aan codeertaken, zoals Cryptopolitan berichtte.

Ongeveer de helft van de PHP-sites draait onondersteunde versies

Ongeveer de helft van alle PHP-sites draait oudere versies, zei Jardim, en alleen PHP 8.2 en nieuwer krijgen officiële releases. "PHP 8.1 en ouder ontvangen geen updates meer van het PHP-project", zei het PHP-securityteam. Het team publiceerde wel minimale source backports voor PHP 7.4, 8.0 en 8.1.

Don Smith van Sophos zei dat de eerste stap voor verdedigers is om elke plek te vinden waar PHP draait, omdat het zich vaak verstopt onder contentmanagementsystemen en hostingplatforms. Elk systeem dat niet gepatcht kan worden, moet van het internet worden gehaald totdat het is beveiligd, zei hij.