De twee kritieke kwetsbaarheden in PHP die momenteel wereldwijd websites en online diensten treffen, zijn ontdekt met behulp van kunstmatige intelligentie. De beveiligingslekken zaten al meer dan tien jaar verborgen in de code.
Twee cyberbeveiligingsbedrijven, Calif en het aan Google gelieerde Wiz, ontdekten de kwetsbaarheden onafhankelijk van elkaar met behulp van AI-tools. Calif meldde dat het de lekken op 1 augustus had ontdekt met behulp van een groot taalmodel. Wiz gebruikte zijn autonome onderzoeksysteem Wiz Atlas, in combinatie met Google’s Gemini 4 Argon en OpenAI’s GPT-5.6 Sol.
Volgens Wiz waren de kwetsbaarheden voor menselijke onderzoekers uitzonderlijk moeilijk te ontdekken en uit te buiten. Met AI-tools konden ingewikkelde analyses echter worden geautomatiseerd die anders op grote schaal nauwelijks uitvoerbaar zouden zijn.
De bedrijven deelden hun bevindingen met de ontwikkelaars van PHP en OpenAI. Die samenwerking leidde op woensdag 21 oktober tot de uitrol van dringende beveiligingsupdates.
De ontdekking roept zorgen op dat dezelfde AI-technologie waarmee beveiligingslekken worden gevonden, ook hackers kan helpen om ze uit te buiten. Beveiligingsexperts waarschuwen dat aanvallers AI kunnen gebruiken om openbaar gemaakte beveiligingsupdates te analyseren en razendsnel aanvalsmethoden te ontwikkelen voor websites die nog niet zijn bijgewerkt.
Amazon meldde op 17 oktober, vier dagen voordat de kwetsbaarheden openbaar werden gemaakt, al een aanvalspoging op een van zijn beveiligingstestsystemen te hebben gedetecteerd. Na de bekendmaking registreerde Cloudflare wereldwijd miljoenen hackpogingen.
De mogelijke gevolgen zijn enorm. PHP wordt gebruikt door ongeveer 75% van alle websites waarvan de programmeertaal aan de serverkant bekend is. Daaronder vallen ook websites die zijn gebouwd met WordPress, Drupal, Joomla en Magento.
Na de bekendmaking haalden overheidsinstanties en organisaties in heel Europa uit voorzorg tijdelijk websites offline. Ook in Nederland gingen verschillende belangrijke overheidsdiensten tijdelijk uit de lucht.
