AnswersPublished22 sources
PHP2Shell laat zien hoe AI kwetsbaarheden opspoort — en de druk om snel te patchen opvoert
PHP2Shell omvat twee PHP kwetsbaarheden met een ernstscore van 9,2. Ze kunnen aanvallers zonder in te loggen code laten uitvoeren op een getroffen systeem.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell omvat twee PHP kwetsbaarheden met een ernstscore van 9,2. Ze kunnen aanvallers zonder in te loggen code laten uitvoeren op een getroffen systeem.
- PHP bracht op 21 oktober 2026 beveiligingsupdates uit. CISA voegde beide CVE’s later toe aan de Known Exploited Vulnerabilities catalogus en riep organisaties op direct te patchen.
- De vaak genoemde schatting dat PHP ongeveer 70% van de websites aandrijft, zegt iets over het bereik van de programmeertaal — niet dat 70% van de websites aantoonbaar kwetsbaar is.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell episode reveal about AI’s impact on cybersecurity, including PHP’s use by roughly 70% of websites; the discovery in. Article summary: PHP2Shell illustrates AI’s double-edged impact: it can uncover dangerous, long-hidden vulnerabilities and help coordinate repairs, while also shortening the time defenders have before attackers exploit them. The evidence. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wate
PHP2Shell laat zien hoe AI een dubbelrol kan spelen in cybersecurity. AI-ondersteund onderzoek hielp twee ernstige kwetsbaarheden in PHP aan het licht brengen. De bekendmaking en meldingen van misbruik maakten tegelijk duidelijk hoe snel verdedigers moeten kunnen reageren. Een kwetsbaarheid ontdekken is maar één stap: organisaties moeten ook vaststellen welke systemen risico lopen, de aanpak coördineren en updates installeren. 16
32
1
Wat gebeurde er met PHP2Shell?
PHP2Shell is de naam voor twee kwetsbaarheden in PHP: CVE-2026-109618 en CVE-2026-109619. Het Canadese Centre for Cyber Security beschrijft ze als zogeheten use-after-free-fouten. Een aanvaller zou daardoor zonder in te loggen willekeurige code kunnen uitvoeren op een getroffen systeem. In adviezen en berichtgeving kregen beide kwetsbaarheden een ernstscore van 9,2. 2
14
De populariteit van PHP maakt de mogelijke impact groot. Volgens berichtgeving wordt PHP gebruikt op ongeveer 70% van de websites. Dat betekent niet dat 70% van de websites aantoonbaar kwetsbaar was: het risico hangt af van de gebruikte PHP-versie en of die installatie nog niet is bijgewerkt. CISA meldt dat de kwetsbaarheden PHP-installaties raken die webverzoeken afhandelen. 32
44
1
AI-ondersteund onderzoek speelde een rol bij het vinden van de fouten. Calif beschreef het onderzoek naar de kwetsbaarheden. Andere berichtgeving meldt dat onderzoekers van Calif OpenAI’s GPT-5.6 Sol gebruikten in het kader van het Patch the Planet-initiatief. Ook Wiz meldde een onafhankelijke ontdekking. 16
34
PHP bracht op 21 oktober 2026 beveiligingsupdates uit. De genoemde gerepareerde versies zijn PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. De NSA adviseerde organisaties die updates te installeren. CISA voegde beide CVE’s later toe aan de Known Exploited Vulnerabilities-catalogus en drong aan op onmiddellijke updates. 3
17
1
Wat zegt dit over AI en cybersecurity?
AI kan helpen om moeilijk vindbare fouten op te sporen
PHP2Shell is een voorbeeld van hoe AI-ondersteunde analyse kan bijdragen aan het vinden van kwetsbaarheden in veelgebruikte software. In dit geval ging het om fouten in PHP zelf, niet alleen om kwetsbaarheden in afzonderlijke websites of toepassingen die met PHP zijn gebouwd. Calif en het onafhankelijke onderzoek van Wiz hielpen de problemen onder de aandacht te brengen. 16
32
Dat is een voordeel voor verdedigers, maar AI lost een kwetsbaarheid niet vanzelf op. Een fout moet worden gecontroleerd, op een verantwoorde manier gemeld en gerepareerd. Daarna moeten organisaties de update ook nog op hun systemen installeren. De patches van PHP en de dringende adviezen van overheidsinstanties waren daarom onmisbare onderdelen van de reactie. 3
17
1
Snellere ontdekking vergroot de druk om te patchen en af te stemmen
Zodra een kwetsbaarheid bekend wordt, moeten ontwikkelaars en organisaties bepalen welke systemen geraakt zijn en updates uitrollen. Het dringende advies van CISA en de latere opname in de KEV-catalogus laten zien waarom snelheid belangrijk is. De waarschuwing van CISA ondersteunt de conclusie dat de kwetsbaarheden in de praktijk zijn misbruikt. Ze bewijst niet dat AI die aanvallen heeft veroorzaakt en maakt ook niet duidelijk hoeveel systemen zijn gecompromitteerd. 1
AI kan de tijd verkorten die nodig is om een fout te vinden, maar een effectieve verdediging vraagt ook om praktisch werk: weten waar PHP draait, duidelijk beleggen wie verantwoordelijk is en de juiste update installeren. Berichten over het proces rond de bekendmaking van PHP2Shell wijzen bovendien op de coördinatieproblemen die kunnen ontstaan wanneer een veelgebruikt open-sourceproject een ernstige kwetsbaarheid moet afhandelen. 46
Een hoge ernstscore zegt niet hoeveel systemen zijn getroffen
Een score van 9,2 duidt op een ernstige kwetsbaarheid. Het betekent niet dat elke PHP-website kwetsbaar is of dat elke kwetsbare website is aangevallen. De waarschuwing van CISA gaat over PHP-installaties die webverzoeken afhandelen; het daadwerkelijke risico hangt voor een organisatie af van de softwareversie, de configuratie en de patchstatus. 14
1
Meldingen over misbruik moet je ook in hun context lezen. De latere KEV-vermelding van CISA is bewijs voor exploitatie. Eerdere verklaringen van beveiligingsbedrijven beschreven wat zij op dat moment wel of niet in hun eigen telemetrie zagen. Dat hoeft niet tegenstrijdig te zijn: de meetperiode en het bereik van hun systemen verschillen. 1
23
25
Wat websitebeheerders kunnen doen
- Installeer de PHP-update die bij je omgeving past. De genoemde gerepareerde versies zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Volg de officiële release-informatie of het advies van je leverancier voor de juiste update.
3
- Geef PHP-systemen die webverzoeken afhandelen prioriteit. CISA roept organisaties op getroffen installaties onmiddellijk bij te werken.
1
- Zie andere beveiligingsmaatregelen als aanvulling, niet als vervanging. Meervoudige authenticatie en unieke wachtwoorden helpen accounts te beschermen, maar verhelpen geen kwetsbaarheid aan de serverkant waarmee code kan worden uitgevoerd zonder dat een aanvaller inlogt.
De kern
PHP2Shell laat zien dat AI-ondersteund onderzoek ernstige softwarefouten kan helpen blootleggen — en daarmee de druk op verdedigers vergroot om snel te reageren. Het incident bewijst niet dat meer door AI ontdekte kwetsbaarheden automatisch tot meer succesvolle aanvallen leiden. Daarvoor is ook bewijs nodig over daadwerkelijk misbruik, de snelheid van patchen en de resultaten van de verdediging; alleen het aantal gevonden kwetsbaarheden volstaat niet.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell laat zien hoe AI kwetsbaarheden opspoort — en de druk om snel te patchen opvoert"?
PHP2Shell omvat twee PHP kwetsbaarheden met een ernstscore van 9,2. Ze kunnen aanvallers zonder in te loggen code laten uitvoeren op een getroffen systeem.
What are the key points to validate first?
PHP2Shell omvat twee PHP kwetsbaarheden met een ernstscore van 9,2. Ze kunnen aanvallers zonder in te loggen code laten uitvoeren op een getroffen systeem. PHP bracht op 21 oktober 2026 beveiligingsupdates uit. CISA voegde beide CVE’s later toe aan de Known Exploited Vulnerabilities catalogus en riep organisaties op direct te patchen.
What should I do next in practice?
De vaak genoemde schatting dat PHP ongeveer 70% van de websites aandrijft, zegt iets over het bereik van de programmeertaal — niet dat 70% van de websites aantoonbaar kwetsbaar is.
Sources
calif.ioA tale of two PHP remote vulnerabilities - Calif
wiz.ioPHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
cyber.gc.caAL26-026 - Critical vulnerabilities impacting PHP - CVE-2026-109618 and CVE-2026-109619 - Canadian Centre for Cyber Security