AnswersPublished28 sources
PHP2Shell: een AI-vondst is pas het begin
PHP2Shell omvatte twee kwetsbaarheden in PHP, beide beoordeeld met CVSS 9,2. Op 21 oktober 2026 verschenen noodpatches. OpenAI beschreef een coalitie die twee maanden aan oplossingen werkte.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell omvatte twee kwetsbaarheden in PHP, beide beoordeeld met CVSS 9,2. Op 21 oktober 2026 verschenen noodpatches.
- OpenAI beschreef een coalitie die twee maanden aan oplossingen werkte. Calif gebruikte GPT 5.6 Sol om een ernstige fout te vinden; Wiz ontdekte en meldde onafhankelijk beide kwetsbaarheden.
- Amazon meldde een poging tot misbruik op 17 oktober, vóór de openbare bekendmaking.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell case reveal about AI-assisted vulnerability discovery and coordinated disclosure, including OpenAI’s October 21 anno. Article summary: PHP2Shell illustrates that AI-assisted research can uncover serious flaws in widely deployed software, while protecting users still depends on human validation, coordinated fixes, and rapid deployment. OpenAI’s October 2. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
PHP2Shell was de naam voor twee ernstige kwetsbaarheden in de kern van PHP. Op 21 oktober 2026 verschenen noodpatches. Volgens OpenAI was de ontdekking niet het hele verhaal: in de twee maanden daarvoor werkten ontwikkelaars, onderzoekers en beveiligingsbedrijven samen om oplossingen en beschermingsmaatregelen klaar te zetten vóór de bekendmaking.18
De zaak maakt een belangrijk punt duidelijk over AI in beveiligingsonderzoek: een fout vinden is slechts de eerste stap. De bevinding moet worden gecontroleerd, verholpen en omgezet in een update die beheerders ook daadwerkelijk kunnen installeren.
Wat werd ontdekt — en wat droeg AI bij?
De kwetsbaarheden kregen de nummers CVE-2026-109618 en CVE-2026-109619. Beide kregen een CVSS-score van 9,2. Onderzoekers demonstreerden dat ze zonder in te loggen op afstand code konden uitvoeren op installaties van WordPress, Drupal en Joomla. Ook konden ze geheugen uitlezen.3
4 Volgens de berichtgeving loopt het getroffen versiebereik van PHP 5.4 tot en met PHP 8.5.
1
De problemen zaten in de geheugenafhandeling van PHP. De ene fout had te maken met situaties waarin het geheugen opraakt; de andere met achtergebleven interne toestand tussen verzoeken en gedrag waarbij vrijgegeven geheugen opnieuw wordt gebruikt.3
9 Het ging dus niet alleen om een fout in een bepaalde website of toepassing, maar om problemen in PHP zelf, de softwarelaag waarop veel toepassingen draaien.
3
4
OpenAI meldde dat Calif met GPT-5.6 Sol een ernstige fout vond in het kader van het initiatief Patch the Planet. Wiz ontdekte en rapporteerde onafhankelijk beide kwetsbaarheden.18 In berichtgeving over het onderzoek worden ook Wiz Atlas, Gemini 4 Argon en GPT-5.6 Sol genoemd als hulpmiddelen in het onderzoek van Wiz.
4
33 De beschikbare bronnen maken niet duidelijk welke taken elk model precies uitvoerde. Ze tonen dus niet aan welk model bijvoorbeeld hielp bij het testen van aanvallen of het controleren van patches.
Een secundaire tijdlijn, die verwijst naar informatie van de PHP Foundation, noemt meldingen aan PHP van Calif op 11 augustus, Wiz op 24 augustus en OpenAI op 18 september.6 Dit zijn gemelde datums waarop de kwetsbaarheden zijn doorgegeven, niet noodzakelijk de datums waarop de teams ze voor het eerst ontdekten.
Waarom was samenwerking nodig?
OpenAI beschreef een samenwerking van twee maanden, waarin ontwikkelaars, onderzoekers en beveiligingsbedrijven patches en beschermingsmaatregelen voorbereidden voordat de kwetsbaarheden openbaar werden.18 De PHP-ontwikkelaars leidden het werk aan de oplossingen en de nieuwe releases. Onderzoeks- en beveiligingspartners droegen volgens de aankondiging bij met onderzoek, technische ondersteuning en coördinatie.
18
De patches verschenen op 21 oktober, een dag eerder dan de geplande datum van 22 oktober.14 Volgens berichtgeving verschoof de planning nadat informatie was uitgelekt en gepatchte containerimages vroeg beschikbaar kwamen. De PHP Foundation beschuldigde Chainguard ervan het embargo te hebben doorbroken. Dat is een beschuldiging die aan de Foundation moet worden toegeschreven; de beschikbare berichtgeving beslecht het geschil niet onafhankelijk.
6
35
38
Daarin zit een lastige afweging. Als technische details vertrouwelijk blijven, krijgen ontwikkelaars en softwareleveranciers tijd om updates voor te bereiden. Maar te lang wachten kan gebruikers kwetsbaar laten als aanvallers al proberen misbruik te maken van het probleem.
In berichtgeving wordt OpenAI’s voorgestelde aanpak beschreven als een gefaseerd proces: eerst de kwetsbaarheid bevestigen en een oplossing ontwikkelen, vervolgens leveranciers tijd geven om updates voor te bereiden, overheidspartners betrekken en daarna de informatie breder delen met richtlijnen voor gebruikers. Als er aanvallen of lekken opduiken, kan de planning worden ingekort.37
41
Wat is bekend over aanvalspogingen?
Amazon meldde dat zijn MadPot-systeem op 17 oktober een poging tot misbruik van PHP2Shell had gedetecteerd, vier dagen vóór de openbare bekendmaking. Andere berichtgeving beschreef bredere aanvalspogingen nadat de patches waren verschenen.5 Een waargenomen poging is niet hetzelfde als een bevestigde succesvolle overname. De beschikbare berichtgeving maakt niet duidelijk hoe een aanvaller vóór de bekendmaking van de kwetsbaarheid wist, en geeft geen gecontroleerd aantal getroffen servers.
Palo Alto Networks zou meer dan 22,6 miljoen vanaf internet bereikbare systemen hebben gevonden die mogelijk kwetsbaar waren.53 ‘Mogelijk kwetsbaar’ is een schatting van blootstelling, geen telling van systemen waarop de fout zeker kan worden misbruikt of die daadwerkelijk zijn overgenomen.
Overheidsinstanties riepen organisaties op de kwetsbaarheden snel aan te pakken. Volgens een bericht adviseerden Amerikaanse instanties systemen offline te halen als ze niet snel konden worden beveiligd.56 Cloudflare meldde dat het vóór de openbare bekendmaking firewallbescherming had uitgerold voor klanten die zijn WAF gebruiken.
12 Zulke maatregelen kunnen helpen, maar vervangen het installeren van patches niet.
De PHP-versies waarin de fouten volgens de berichtgeving zijn verholpen, zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12.8 Beheerders moeten nagaan welke PHP-versie en -distributie hun systemen gebruiken: versienummers van pakketbeheerders kunnen afwijken.
8
De bredere les: herstel moet meegroeien met ontdekking
OpenAI zegt ook 1 miljard dollar te hebben toegezegd aan gesubsidieerde toegang tot Daybreak voor verdedigers. Daarbij ligt de nadruk op organisaties met beperkte beveiligingsmiddelen die essentiële diensten beschermen.25 Dat richt zich op één deel van het probleem: toegang tot beveiligingstools. PHP2Shell onderstreept het andere deel: oplossingen moeten worden voorbereid, duidelijk gecommuniceerd en in de praktijk uitgerold.
AI kan helpen kwetsbaarheden op te sporen, maar claims over wat precies is ontdekt, welke hulpmiddelen hebben bijgedragen en of aanvallen zijn geslaagd, moeten zorgvuldig worden toegeschreven. De les van PHP2Shell is dan ook genuanceerd: een ontdekking kan verdedigers waardevolle voorbereidingstijd geven, maar die tijd helpt alleen als ontwikkelaars, leveranciers en beheerders er samen voor zorgen dat oplossingen beschikbaar komen én worden geïnstalleerd.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: een AI-vondst is pas het begin"?
PHP2Shell omvatte twee kwetsbaarheden in PHP, beide beoordeeld met CVSS 9,2. Op 21 oktober 2026 verschenen noodpatches.
What are the key points to validate first?
PHP2Shell omvatte twee kwetsbaarheden in PHP, beide beoordeeld met CVSS 9,2. Op 21 oktober 2026 verschenen noodpatches. OpenAI beschreef een coalitie die twee maanden aan oplossingen werkte. Calif gebruikte GPT 5.6 Sol om een ernstige fout te vinden; Wiz ontdekte en meldde onafhankelijk beide kwetsbaarheden.
What should I do next in practice?
Amazon meldde een poging tot misbruik op 17 oktober, vóór de openbare bekendmaking.