Beveiligingsonderzoekers hebben ernstige kwetsbaarheden ontdekt in PHP, de open-source scripttaal die ongeveer 70% van de websites ter wereld aandrijft, met hulp van een OpenAI-model.

De kwetsbaarheden, samen PHP2Shell genoemd, worden beschouwd als mogelijk de ernstigste die in meer dan tien jaar in PHP zijn gevonden, en sommige experts hebben vergelijkingen getrokken met Heartbleed, de beruchte OpenSSL-kwetsbaarheid uit 2014 waarmee aanvallers delen van servergeheugen konden uitlezen.

Wat de onderzoekers vonden

De kwetsbaarheden kwamen aan het licht tijdens een audit die in augustus 2026 werd uitgevoerd door onderzoekers van Calif, een beveiligingsbedrijf. Het team gebruikte GPT-5.6 Sol, een van OpenAI's modellen, om de broncode van PHP door te spitten. Ryan Austin van Calif wordt genoemd als ontdekker van de kwetsbaarheden.

De bugs maken uitvoering van code op afstand en controle over servergeheugen mogelijk. In de praktijk betekent dit dat een aanvaller vanaf elke locatie op internet een server kan dwingen instructies uit te voeren die nooit bedoeld waren.

Deels maakt het de bevinding zo belangrijk waar de kwetsbaarheden zitten: in PHP zelf, en niet in een enkele applicatie of plugin dieop is gebouwd.

Volgens de onderzoeksresultaten kunnen de kwetsbaarheden gevoelige gegevens van websitebezoekers blootstellen. Ze kunnen ook dienen als uitgangspunt voor verdere cyberaanvallen op andere systemen.

Hoe de openbaarmaking verliep

Calif-ceo Thai Duong waarschuwde Volker Dusch, die aan PHP werkt, op 11 augustus, waarmee een stille, gecoördineerde inspanning startte om het probleem te verhelpen voordat aanvallers ervan konden leren. Die aanpak-first-privaat is de standaardbeveiligingspraktijk die bekendstaat als gecoördineerde kwetsbaarheidsopenbaarmaking, waarbij kwetsbaarheden achter de schermen worden gepatcht voordat details openbaar worden.

De reactie bracht PHP-beheerders, externe onderzoekers, beveiligingsaanbieders en Amerikaanse instanties waaronder CISA (de Cybersecurity and Infrastructure Security Agency) en ONCD (het Office of the National Cyber Director) samen.

OpenAI kondigde zijn initiatief "Patch the Planet" aan op 21 oktober 2026. Het programma is bedoeld om verdedigers te mobiliseren rond de PHP2Shell-kwetsbaarheden en de gecoördineerde patchinspanning te ondersteunen. Een gedeeltelijke lekt van informatie over de kwetsbaarheden dwong het team om de patchuitgave te vervroegen naar 22 oktober.

Als onderdeel van het initiatief draagt OpenAI $1 miljard bij in gesubsidieerde modeltoegang. Het doel is om AI-tools in handen te geven van verdedigers in de voorhoede die aan dit soort kwetsbaarheden werken.

Waarom door AI ondersteund bugjachten het beeld verandert

Deskundigen die in het onderzoek worden geciteerd, trokken de parallel met Heartbleed. Ze benadrukten ook dat door AI versterkte kwetsbaarheidsontdekking twee kanten heeft: dezelfde capaciteit die verdedigers helpt gaten te vinden, kan aanvallers helpen ze te vinden en uit te buiten.

Die spanning staat centraal in OpenAI's belofte van $1 miljard. Als modellen kritieke kwetsbaarheden sneller kunnen blootleggen, wordt de wedloop wie ze het eerst gebruikt. Het subsidiëren van toegang voor verdedigers is een poging die wedloop te laten kantelen ten gunste van de mensen die de patches uitvoeren.

Wat dit betekent

Voor websitebeheerders is de directe prioriteit eenvoudig: updaten. Er bestaat een patch, en de gedeeltelijke lekt betekent dat de klok eerder begon te lopen dan gewenst. Omdat PHP zo'n groot deel van het web ondersteunt, geldt die update veel breder dan één enkele site of hostingprovider.

Voor de open-source wereld is PHP2Shell een nieuwe herinnering aan een structureel probleem: kritieke internetinfrastructuur rust vaak op projecten die door kleine teams worden onderhouden, een afhankelijk die een systeemrisico wordt wanneer kwetsbaarheden van deze ernst opduiken. De zware betrokkenheid van Amerikaanse instanties bij deze openbaarmaking laat zien hoe serieus overheden die afhankelijkheid nu nemen.

Waar je verder op moet letten: hoe snel websites de patch van 22 oktober toepassen, of er in het wild misbruik van PHP2Shell wordt gemeld, en hoe OpenAI zijn $1 miljard aan gesubsidieerde toegang verdeelt.