Op woensdag brak een decennia oude open-source webtechnologie genaamd PHP bijna het internet, dankzij twee kwetsbaarheden die jarenlang slapend bleven tot onderzoekers onlangs een manier vonden om ze te misbruiken. De bugs zijn gedoopt tot PHP2Shell, officieel aangeduid als CVE-2026-109618 en CVE-2026-109619. Simpel gezegd stellen de bugs iedereen die weet hoe ze te misbruiken in staat om in te breken in een online systeem dat PHP draait, zoals een website of een internetserver, zonder een wachtwoord nodig te hebben om toegang te krijgen tot of de gegevens te wijzigen. Zoals situaties gaan, was dit een behoorlijk omvangrijke, waardoor miljoenen mensen over de hele wereld zich haastten om hun systemen te patchen voordat kwaadwillende hackers ze konden misbruiken.

De PHP Foundation, die de PHP-websoftware onderhoudt, bracht woensdag openbaar patches uit die de bugs verhelpen. Eenmaal geïnstalleerd voorkomen ze dat webservers worden aangevallen. De stichting had al enkele van de grootste internetbedrijven en webhosts die op PHP vertrouwen een vroege voorsprong gegeven bij het patchen. Dankzij wekenlang achterkameroverleg en zorgvuldige coördinatie in de hele industrie heeft de wereld – tot nu toe – grootschalige internetexploitatie grotendeels weten te vermijden. Vanaf woensdag begonnen overheden burgers en bedrijven met websites op te roepen actie te ondernemen om de risico's aan hun kant te beperken. Een breed scala aan industrieën sloot hun websites en haalde diensten offline om hun systemen te patchen. Banken, retailers, gokwebsites, online winkels, ziekenhuizen en sommige overheidsinstanties namen hun servers uit de lucht om aanvallen te voorkomen. Maar beveiligingsonderzoekers waarschuwen dat de situatie nog niet voorbij is, en dat een groot aantal systemen over de hele wereld nog steeds ongepatcht en kwetsbaar is voor hacks en gegevensdiefstal. Dit is waarschijnlijk ook niet de laatste grote schrik rond internetsoftware; sommigen verwachten dat de komst van AI snel nog niet-ontdekte kwetsbaarheden aan het licht zal brengen die wachten om gevonden en misbruikt te worden.

Beveiligingsonderzoekers bij Calif vonden twee bugs in PHP, een programmeertaal die wereldwijd veel wordt gebruikt voor het bouwen van websites en webapps, zowel op het internet als lokaal gehost op bedrijfsnetwerken, zoals intranetten en interne sites. PHP is open-source, wat betekent dat het gratis is en door iedereen voor bijna elk doel gebruikt kan worden. Daardoor is het een van de meest populaire en breed gebruikte webprogrammeertalen op het web van vandaag geworden. De twee bugs werden voor het eerst ontdekt in 2024, maar werden toen niet als exploiteerbaar beschouwd en werden niet gepatcht. Beveiligingsonderzoekers vonden onlangs een manier om ze te misbruiken, waardoor ze de makers van de software waarschuwden om ze te laten verhelpen. Calif waarschuwde de PHP Foundation, die een periode van het verhelpen van de bugs en gecoördineerde openbaarmaking begon. De stichting deed dit door de informatie en patches over de beveiligingsproblemen onder een streng bewaakt embargo aan te bieden – in wezen vertrouwelijk gehouden tot een specifieke deadline – om grote bedrijven de kans te geven voorop te lopen met het installeren van de fixes.

PHP2Shell is behoorlijk ernstig omdat het op afstand via het internet kan worden misbruikt en zonder dat het slachtoffer op een link hoeft te klikken of een bestand hoeft te openen. Dit staat bekend als remote code execution, en het is een van de schadelijkere soorten bugs om te misbruiken, omdat ze een hacker waar ook ter wereld effectief volledige controle kunnen geven over een getroffen en ongepatcht systeem. Erger nog, deze specifieke PHP-bugs maken het mogelijk om in te breken in elk ongepatcht systeem op het internet zonder een wachtwoord of enige andere inloggegevens via het internet, bekend als ongeauthenticeerde toegang. Dit zou een kwaadwillende hacker in staat stellen malware op de computer te planten, bijvoorbeeld om gegevens te stelen of simpelweg om een langdurige voet aan de grond te houden waar ze later naar terug kunnen keren.

De bugs zijn bijzonder riskant omdat PHP razend populaire software is, deels omdat het gratis en relatief eenvoudig te gebruiken is, maar ook omdat het al decennia bestaat. Ongeveer 70% van het met het internet verbonden web vertrouwt op PHP, hoewel het gebruik ervan de afgelopen jaren langzaam is afgenomen ten gunste van nieuwere