PHP is een server-side programmeertaal die zo wijdverbreid wordt gebruikt voor webbewerkingstoepassingen dat deze ongeveer 70% van alle websites op het internet aandrijft; volgens sommige schattingen gaat dit om meer dan 33 miljoen sites. De taal wordt ook gebruikt door populaire contentbeheersystemen zoals WordPress.
De NSA waarschuwde dat deze gaten zwaarwegend genoeg zijn zodat als een website niet onmiddellijk kan worden gepatcht, deze uitgeschakeld moet worden tot aanpassing mogelijk is. Deze kwetsbaarheden maken
"aanvallers om de bestandsstructuur van de server te infiltreren of een database die mogelijk wordt gebruikt door de webbeprogramma." Interessant genoeg zijn deze kwetsbaarheden al in alle versies van PHP aanwezig sinds versie 5, welke werd uitgegeven in 2004. Websites dat niet relatief recente versies van PHP draaien zullen enige werk moeten doen aan bijwerken, aangezien PHP 8.1 en oudere versies geen ondersteuning meer krijgen.
De aanbeveling is om de webserver updaten naar de huidige versie van PHP, namelijk 8.5.12. Hoe dan ook twee dergelijke overal aanwezige, decennia-oude fouten die bijna elke website op het internet beïnvloeden plotseling tot licht komen? AI, natuurlijk.
"Vooral via OpenAI en Google's Wiz." Veiligheidstestbedrijf Calif was betrokken bij het "Patch de Planeet"-initiatief van OpenAI om fouten te ontdekken in open source software. Met GPT‑5.6 Sol vond hij een van deze gebreken; dit werd door OpenAI bekendgemaakt in een blogpost . Aparte hiermee gebruikte ook het team van Wiz AI, namelijk zijn veiligheidsagent voor AI genaamd Gemini 4 Argon, samen met GPT-5.6 Sol om meerdere kwetsbaarheden in PHP aan het licht te brengen.
Zowel OpenAI als Wiz volgden verantwoordelijke praktijken op gebied van veiligheidsonderzoek en werkten samen met PHP aan patches voordat ze de gebreken publiekelijk onthulden. Daarna hebben zij allemaal gezamenlijk gewerkt om uit te werken wat er was gevonden,
...en test de patches, waarbij een heleboel anderen worden ingeschakeld om mee te helpen. Wiz bedankte Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft en Vercel. (Hoewel WordPress-sites PHP gebruiken, heeft WordPress een verklaring uitgebracht waarin staat dat het gebrek niet specifiek aan WordPress is; sites die hun CMS draaien moeten hun servers updaten samenwerken met hun webhostingbedrijven ervoor zorgen dat hun websites beschermd zijn.) OpenAI zegt dat deze kwetsbaarheden door onderzoekers werden gevonden voordat hackers ze ontdekten. Er waren dus geen meldingen van uitbuitingen in de wildernis.
hackers om uit te buiten. "Met kunstmatige intelligentie (KI) is dit geen barrière meer," waarschuwde Wiz in zijn blog over de kwetsbaarheden. LLMs kunnen helpen een exploit aan te passen voor verschillende versies van PHP, configuraties en geheugenindelingen." Met andere woorden, dit is het soort beveiligingsprobleem dat ontdekt én voorkomen werd dankzij KI, maar ook alleen vanwege AI tot een hoog risico wordt.
Nu het probleem bekendgemaakt is, weten hackers er alles van. De race staat los: internet moet tientallen miljoenen websites updaten voordat hackers onopgepaste sites aanvallen. Daarom adviseert de NSA als je jouw PHP-website niet direct kunt patchen...
[Beter om de server uit te halen totdat je dit kunt oplossen].