Deze PHP-kwetsbaarheid treft 70% van alle websites — en AI speelde een dubbele rol
Vorige week gingen overheidswebsites in Duitsland, Finland en Japan offline. De reden: kritieke beveiligingslekken in PHP, de programmeertaal waarop zo’n 70% van het internet draait. Platformen als WordPress, Drupal en Wikipedia draaien erop. Aanvallers konden zonder wachtwoord servers overnemen, data stelen of aanpassen, en verder inbreken in andere systemen.
Het opmerkelijke: de lekken waren al sinds 2024 bekend bij de ontwikkelaars. Maar niemand wist precies hoe ze in de praktijk te misbruiken waren. Tot AI-agents het uitvogelden.
Waarom bleef dit lek zo lang open?
De PHP Foundation erkent een “structureel falen” in hun besluitvormingsproces. Er waren meerdere manieren om de lekken te dichten, maar elke oplossing had nadelen. Het team had te weinig mankracht en middelen om snel tot een besluit te komen. Ondertussen bleef de kwetsbaarheid open — onzichtbaar voor de meeste mensen, maar wél aanwezig in de code.
Totdat OpenAI en cloudbeveiligers zoals Wiz hun AI-agents op de broncode loslieten. Die vonden binnen enkele uren concrete manieren om de lekken uit te buiten. In twee maanden stond de hele keten onder druk: onderzoekers, beveiligingsbedrijven en uiteindelijk de FBI en PHP.net zelf sloegen alarm.
AI als beveiligingswapen — in twee richtingen
Dit is het eerste grote voorbeeld waarin AI-agents een verborgen lek naar boven haalden dat anders maanden of jaren onopgemerkt was gebleven. Dat is goed nieuws: organisaties zonder eigen securityteam kunnen nu met betaalbare tools hun systemen scannen op zwakke plekken.
Maar dezelfde technologie is ook beschikbaar voor aanvallers. Waar een hacker vroeger handmatig door code moest spitten om een lek te vinden, kan een AI-agent nu duizenden repositories doorzoeken, patronen herkennen en automatisch proof-of-concepts genereren. De drempel om kwetsbaarheden op grote schaal te misbruiken daalt hard.
Wat betekent dit voor jouw systemen?
Als je WordPress, Drupal of een ander PHP-gebaseerd platform gebruikt:
- Patch onmiddellijk — of haal je site offline tot de update staat. De FBI en PHP.net stuurden officiële waarschuwingen uit.
- Test de patch eerst op een staging-omgeving. Niet alle updates lopen zonder aanpassingen, en sommige sites zijn daarom nog steeds offline terwijl ze testen.
- Schakel automatische updates in waar mogelijk. De vertraging in dit geval kwam mede doordat organisaties handmatig moesten ingrijpen.
Voor MKB-bedrijven zonder dedicated IT: overweeg een managed hosting-partij die patches automatisch uitrolt, of gebruik een platform-as-a-service dat de onderliggende infrastructuur voor je beheert. Dan hoef je niet zelf bij te houden wanneer PHP een kritieke update krijgt.
Verwacht meer van dit soort situaties
Wiz, het cloudplatform dat meedeed aan de analyse, noemt AI-gedreven beveiliging “toegankelijk voor organisaties van alle groottes”. Dat klopt — maar het maakt aanvallen ook toegankelijker. De komende jaren zie je waarschijnlijk vaker dat een lek pas publiek wordt nádat een AI-tool het heeft gespot, met kortere tijd om te reageren voordat aanvallers toeslaan.
De les: beveiligingsupdates uitstellen wordt steeds riskanter. De tijd tussen “lek ontdekt” en “massaal misbruikt” krimpt, en AI versnelt beide kanten van die race.
