Een ernstig beveiligingslek in de programmeertaal PHP zet de wereld in beweging. Kunstmatige intelligentie is erin geslaagd om een theoretische zwakte om te zetten in een zeer effectieve aanvalsmethode. Het resultaat: een van de meest ontwrichtende hacks tot nu toe, en een wereldwijde race tegen de klok om systemen te beveiligen.
De impact is enorm, en dat komt door de centrale rol die PHP speelt op het internet. Volgens een analyse van newscientist.com is ongeveer 70 procent van alle websites wereldwijd vatbaar voor deze aanval. Dat betekent dat een gigantisch deel van het web risico loopt op datadiefstal of op ongeautoriseerde aanpassingen van webpagina's. PHP vormt immers de basis voor cruciale platforms zoals WordPress, Wikipedia en sociale netwerken als Facebook.
De dreiging is zo serieus dat verschillende Europese landen drastische maatregelen namen. Overheden in onder andere Nederland, Frankrijk, Denemarken en Finland haalden preventief diverse officiële websites offline. Zo wilden ze voorkomen dat kwaadwillenden misbruik konden maken van de lekken.
Twee fouten in het geheugen
Het cloudbeveiligingsbedrijf Wiz bracht de technische details aan het licht. Het gaat om twee specifieke fouten in de manier waarop PHP met geheugenfouten omgaat. Wanneer er in het geheugen van een server een fout optreedt, kunnen er resten van gegevens achterblijven. Aanvallers kunnen die informatie misbruiken om gevoelige privégegevens te stelen of om eigen malafide code op de server uit te voeren.
De historische reikwijdte maakt de crisis extra complex. Elke PHP-versie die in de afgelopen tien jaar uitkwam, bevat minstens één van deze twee kwetsbaarheden. Daardoor zijn zeer veel oudere systemen potentieel onveilig.
Bekend sinds 2024, maar niet opgelost
Opvallend: de theoretische basis voor deze hack was al in 2024 bekend. De PHP Foundation erkende in een blogpost dat er destijds al signalen waren, maar er werd toen geen directe actie ondernomen. De reden: er bestond geen praktische methode om het lek op grote schaal te exploiteren, en intern woedde een discussie over de beste technische oplossing.
Die situatie is nu veranderd. AI overbrugt de complexe stap van theorie naar praktijk. Een voorheen abstract risico is daardoor plotseling een acute dreiging voor de digitale veiligheid wereldwijd.
Wat moet je doen?
De PHP Foundation heeft inmiddels updates gepubliceerd om de gaten te dichten. Beheerders van websites en applicaties die PHP gebruiken, wordt dringend geadviseerd om deze updates onmiddellijk te installeren. Dat is de enige manier om systemen effectief te beschermen tegen ongeautoriseerde toegang en datadiefstal.