Het php2shell-lek en de rol van AI in opensourcebeveiliging

Op 21 oktober 2026 bracht het PHP-project de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit om twee kritieke kwetsbaarheden voor uitvoering van code op afstand te verhelpen, die de naam „php2shell” kregen. De lekken, geregistreerd als CVE-2026-109618 en CVE-2026-109619 en door het beveiligingsteam beoordeeld met een CVSS v4.0-score van 9,2, betreffen een foutieve afhandeling van geheugenuitputting en een use-after-free-situatie bij het verwerken van webverzoeken. Volgens de richtlijnen van CISA treft het probleem configuraties die webverkeer bedienen, terwijl beveiligingsbedrijf Tenable de oorsprong van de kwetsbare code terugvoert tot PHP 5.4.0. CISA raadt aan snel bij te werken, te beginnen bij systemen die aan internet zijn blootgesteld, en systemen te isoleren die niet kunnen worden bijgewerkt of op PHP 8.1 of ouder draaien; daarvoor bestaan alleen backports in broncode voor de versies 7.4, 8.0 en 8.1.

Amazon Threat Intelligence meldde op 17 oktober, vier dagen voor de officiële bekendmaking, een misbruikpoging in zijn honeypots te hebben gezien, en voegde eraan toe dat onduidelijk is hoe de aanvaller aan de informatie kwam. Op 20 oktober rond 15:00 UTC begonnen de CVE's online te circuleren met een verkeerde datum en score; rond 20:00 UTC publiceerde Calif per vergissing een video met de proof of concept, die later werd verwijderd. De release van de patches werd vervroegd van 22 naar 21 oktober om 14:00 UTC; die ochtend om 07:41 UTC publiceerde Chainguard al bijgewerkte images, nog voor de formele bekendmaking. Volgens AWS zijn misbruikpogingen inmiddels wijdverbreid, maar het is onduidelijk of ze op echte systemen zouden zijn geslaagd; bij de publicatie van de waarschuwing had CISA geen geslaagd misbruik waargenomen.

Volgens de PHP Foundation werd de grondoorzaak van de kwetsbaarheden gemeld door Calif op 11 augustus, door Wiz op 24 augustus en, onafhankelijk daarvan, door OpenAI op 18 september. Volgens Fortune gebruikte Calif GPT-5.6 Sol, terwijl Wiz Gemini 4 Argon, GPT-5.6 Sol en zijn eigen tool Wiz Atlas inzette. Wiz spreekt in een door Fortune aangehaalde blog over 70 procent van het internet dat getroffen zou zijn: een schatting die niet onafhankelijk is geverifieerd. Palo Alto Networks heeft, eveneens volgens Fortune, 22,6 miljoen mogelijk kwetsbare instanties gevonden.

De PHP Foundation meldt zelf dat ze PHP begin 2026 samen met Alpha-Omega heeft geanalyseerd met het model Claude Mythos van Anthropic, en dat ze Daybreak Red van OpenAI gebruikt om rapporten en exploits te valideren. Sinds 1 juli 2026 heeft het team 15 CVE's gepubliceerd en meer dan 100 meldingen afgehandeld die ongeldig, dubbel of niet reproduceerbaar bleken. Zoals de stichting opmerkt, betekent de groei van AI-ondersteund onderzoek dat het beveiligingsteam veel meer meldingen krijgt dan vroeger, terwijl elke beslissing en elke patch nog altijd op het directe werk van mensen rust.

De zaak doet vermoeden dat taalmodellen het vaker mogelijk maken om oude fouten in code te vinden, terwijl tegelijk de hoeveelheid controlewerk toeneemt voor de menselijke maintainers, die verantwoordelijk blijven voor de correcties.

— Olya