Regeringen en organisaties over de hele wereld zijn op 21 oktober 2026 noodmaatregelen gaan treffen na de openbaarmaking van een kwetsbaarheid in PHP, de programmeertaal die een groot deel van het web van vandaag aandrijft. De fout kan hackers toegang geven tot data en controle over websites, wat leidde tot dringende waarschuwingen van de U.S. National Security Agency, cyberbeveiligingsinstanties en softwareleveranciers.

Een onderzoeker bij Calif, een beveiligingsonderzoeksbureau, ontdekte de fout in augustus 2026 met behulp van een geavanceerd kunstmatig-intelligentiemodel van OpenAI. Het bedrijf bracht de nonprofit die PHP beheert op de hoogte. Het nieuws van het lek lekte echter voordat de PHP-organisatie patches voor haar software uitbracht, en volgens officials van Amazon Web Services begonnen hackers "op grote schaal" te proberen het misbruik te maken.

De kwetsbaarheid heeft gevolgen die veel verder reiken dan één bedrijf of platform, omdat PHP een cruciaal softwareonderdeel is dat helpt bij het draaien van miljoenen websites. Dus, wat is PHP, welke rol speelde AI bij het ontdekken van het lek, en moet de gemiddelde gebruiker zich zorgen maken?

PHP: De fundering van het web

PHP is een programmeertaal die de meeste websites aandrijft. Om dynamische content visuele elementen en doorzoekbare functionaliteit te kunnen bieden, moet een programma op de webserver draaien die gebruikersinvoer verwerkt — of dat nu het invoeren van een webadres is of het klikken op links en knoppen. Naar schatting draait ongeveer 70% van de websites op PHP. Een zwakte in PHP is daarom geen fout in één applicatie, maar in een laag die door miljoenen sites tegelijk wordt gedeeld.

PHP werkt op een webserver in twee hoofdonderdelen: het PHP-kernsysteem — de engine en de runtime-bibliotheken — en de afzonderlijke PHP-scripts, de aangepaste programma's die een website daadwerkelijk realiseren. Wanneer een bezoeker met een site interacteert, draaien PHP-scripts, verwerken ze gebruikersinvoer en produceren ze de uitvoer die de webbrowser toont.

De kwetsbaarheid

Het beveiligingsprobleem zit direct in het PHP-kernsysteem en de bibliotheken die het gebruikt. Wanneer een kwetsbaarheid op dit diepe niveau bestaat, kan een tegenstander het onderliggende systeem misbruiken. In dit geval kunnen aanvallers ongeautoriseerde opdrachten uitvoeren op de computer die een website host, wat hen toegang geeft tot data en volledige controle over de site.

Belangrijk is dat dit geen fout is in de code van een individuele website. Omdat het probleem in het PHP-kernsysteem ligt, is elke ongepatchte server die PHP draait kwetsbaar. En aangezien websites voor iedereen op internet toegankelijk zijn, kunnen tegenstanders met geautomatiseerde tools eenvoudig PHP-gebaseerde doelen vinden en vervolgens een exploitprogramma draaien dat van het lek gebruikmaakt. Het resultaat is een race tussen beheerders die fixes toepassen en aanvallers die scannen naar servers die nog niet zijn gepatcht — een dynamiek die al zichtbaar is in de grootschalige misbruikpogingen die officials van Amazon Web Services beschreven.

De exploitcode heet PHP2Shell, een naam die is afgeleid van de "shell-toegang" die het verleent — een cyberbeveiligingsterm voor directe commandoregelcontrole over de computer die een website draait. Shell-toegang omzeilt de website-interface en geeft tegenstanders de mogelijkheid opdrachten in te voeren en toegang te krijgen tot alle data van de site.

AI: Een zwaard met twee kanten

Wat deze kwetsbaarheid bijzonder opmerkelijk maakt, is hoe deze werd ontdekt. Het lek kwam aan het licht via gecoördineerde openbaarmaking, een proces waarbij cyberbeveiligingsonderzoekers bugs melden bij PHP-ontwikkelaars voordat ze deze publiceren. In dit geval zat ongeveer twee maanden tussen de privémelding in augustus en de openbare bekendmaking in oktober.

Deze affaire onderstreept de kracht van AI in de cyberbeveiliging. Decennia lang vereiste het vinden van subtiele softwarefouten grote teams van specialisten die handmatig codeoordeelden. De AI-systemen van tegenwoordig kunnen enorme codebases doorzoeken en in uren of dagen ongebruikelijke patronen identificeren, miljoenen regels code analyseren en subtiele geheugenbeheerfouten opsporen die menselijke auditors in decennia van softwareontwikkeling zouden kunnen missen. De PHP-kwetsbaarheid bestond al meer dan tien jaar in de PHP-kerncode, en AI hielp onderzoekers deze te vinden. Het geval laat zien hoe de schaal van kwetsbaarheidsontdekking verandert: één onderzoeker die met AI werkt, kan bugs aan het licht brengen die vroeger grote teams vereisten.

Maar dezelfde tools kunnen aanvallers dienen. De redeneer capaciteiten die beveiligingsonderzoekers helpen om fouten als eerste te vinden, kunnen tegenstanders ook in staat stellen snel het web te scannen naar kwetsbare doelen en het maken van exploittools te automatiseren. Dat illustreert waarom het zo cruciaal is dat beveiligingsteams AI gebruiken om kwetsbaarheden te vinden en deze veilig en proactief te melden — en waarom AI ook kan helpen bij het uitbrengen van patches die deze kwetsbaarheden beperken.

Moet u zich zorgen maken?

Veel overheidsinstanties, universiteiten, ziekenhuizen en bedrijven vertrouwen op PHP-gebaseerde systemen. Hoewel individuele internetgebruikers waarschijnlijk niet direct worden getroffen, kunnen organisaties die met patchen wachten gevoelige data blootstellen, verstoring van hun activiteiten riskeren of aanvallers een uitvalsbasis in grotere netwerken geven.

PHP draait volledig op externe webservers. Als u een gewone internetgebruiker bent die websites bezoekt, hoeft u geen patch te downloaden of uw pc te repareren.

Als u echter een website, blog of server beheert — zelfs een kleine site gebouwd op populaire contentmanagementsystemen zoals WordPress, dat zelf op PHP draait — dan moet u onmiddellijk uw serverbeheerpaneel of webhost controleren om er zeker van te zijn dat de PHP-software is bijgewerkt naar de nieuwste gepatchte versie. Als een derde partij uw website host, controleer dan bij hen of ze deze kwetsbaarheden hebben gepatcht.

De ontdekking van PHP2Shell illustreert een nieuwe realiteit voor de cyberbeveiliging. In een onderling verbonden wereld is het beveiligen van webinfrastructuur een doorlopende race. Nu AI-tools standaard worden voor zowel cyberverdedigers als online tegenstanders, blijft het handhaven van snelle patchgewoonten de belangrijkste verdediging.

Dit artikel is geschreven door Doug Jacobson, universitair hoofddocent Elektrotechniek en Computerwetenschappen aan de Iowa State University. Het is herpubliceerd door The Conversation onder een Creative Commons-licentie; lees het oorspronkelijke artikel. Dit verhaal verscheen oorspronkelijk op Fortune.com.