PHP dicht twee kritieke kwetsbaarheden voor uitvoering van code op afstand die met geavanceerde AI-modellen zijn gevonden

Het PHP-project bracht op 21 oktober 2026 PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit. Deze beveiligingsupdates verhelpen twee kritieke kwetsbaarheden die uitvoering van code op afstand zonder authenticatie mogelijk kunnen maken en met geavanceerde AI-modellen zijn ontdekt. Bij de gecoördineerde openbaarmaking waren het PHP-project, OpenAI, beveiligingsonderzoeksbureau Calif en cloudbeveiligingsbedrijf Wiz betrokken.

De gepatchte releases

In het beveiligingsadvies van het PHP-project staat dat de vier releases CVE-2026-109618 verhelpen, een kwetsbaarheid die wordt omschreven als uitvoering van code op afstand via corruptie door geheugenuitputting, en CVE-2026-109619, die wordt omschreven als uitvoering van code op afstand via verouderde globale status. In een vooraankondiging van het PHP-beveiligingsteam van 20 oktober 2026 kregen beide kwetsbaarheden een CVSS v4.0-score van 9,2 en werd de release gepland voor 14:00 UTC op 21 oktober.

Alle PHP-installaties die webverzoeken verwerken, lopen risico, aldus het advies. Dat geldt onder meer voor PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het risico is het grootst bij mod_php, waar een aangetoonde exploit kan worden geactiveerd met een verzoek zonder authenticatie, nog voordat er applicatiecode wordt uitgevoerd.

Het project stelt dat er geen volledige oplossingen zijn en dat bijwerken de enige veilige keuze is, al noemt het tijdelijke instellingen die de blootstelling aan specifieke aanvalsroutes beperken. Linux-distributies en LTS-leveranciers ontvingen de patches vooraf. Het PHP-beveiligingsteam leverde ook minimale backports van de broncode voor PHP 7.4, 8.0 en 8.1, die geen updates meer ontvangen, en merkte op dat PHP 8.2 op 31 december 2026 het einde van zijn levensduur bereikt.

De kwetsbaarheden en de php2shell-exploit

De technische toelichting van Wiz Research beschrijft CVE-2026-109618 als een kwetsbaarheid die zowel een use-after-free in de unserializer voor uploadvoortgang als het uitlekken van geheugen van een extern proces omvat. CVE-2026-109619 omvat volgens de toelichting een use-after-free in een stacktracering bij fatale fouten en typeverwarring in OPcache. Het gaat in alle gevallen om problemen met geheugenveiligheid die voortkomen uit de manier waarop PHP fatale fouten verwerkt, met name fouten door geheugenuitputting, tijdens het afhandelen van verzoeken.

Volgens Wiz is elke PHP-versie die in de afgelopen tien jaar is uitgebracht getroffen door minstens één van de kwetsbaarheden; dat geldt al vanaf versie 5.4. Calif meldde dat de oudste getroffen route die het heeft gevonden teruggaat tot PHP 5.4.0 en dat aanvalsroutes, die afhangen van de PHP-versie en SAPI, altijd kunnen worden misbruikt met de standaardconfiguratie.

Wiz combineerde de kwetsbaarheden in één exploitscript met de naam php2shell en demonstreerde daarmee uitvoering van code op afstand zonder authenticatie op de nieuwste containerimages van WordPress, Drupal en Joomla. Daarnaast toonde het aan dat geheugen van PHP-werkprocessen, waarin wachtwoorden, authenticatietokens, API-sleutels en certificaten kunnen staan, kan worden uitgelezen, ongeacht de gebruikte applicatie. In het verslag van Calif wordt melding gemaakt van bevestigde uitvoering van code op afstand vóór authenticatie in WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 en WHMCS, en in sommige gevallen in willekeurige PHP-scripts.

Wiz stelt dat PHP de basis vormt voor 70% van alle websites, waaronder WordPress, Joomla, Drupal en MediaWiki van Wikipedia, en rekent de ontdekkingen tot de ernstigste kwetsbaarheden die ooit in PHP zijn gevonden.

Hoe geavanceerde AI-modellen de kwetsbaarheden ontdekten

OpenAI zei dat het de afgelopen twee maanden een coalitie van beheerders, onderzoekers en beveiligingsaanbieders heeft geleid om de kwetsbaarheden aan te pakken. Calif ontdekte met zijn model GPT-5.6 Sol een kritieke kwetsbaarheid als onderdeel van OpenAI’s initiatief Patch the Planet, terwijl Wiz beide kwetsbaarheden onafhankelijk ontdekte en meldde. De beheerders van PHP leidden het herstel en de release.

Uit de tijdlijnen van de deelnemers blijkt dat hun onafhankelijke ontdekkingen elkaar deels overlapten. Volgens de PHP Foundation begon Calif op 30 juli 2026 met zijn audit en meldde Calif-onderzoeker Ryan A op 11 augustus 2026 een onvoorwaardelijke uitvoering van code op afstand. OpenAI meldde diezelfde dag onafhankelijk dezelfde onderliggende oorzaak. Calif dateert de ontdekking op 1 augustus 2026, het delen van een proof of concept voor uitvoering van code op afstand met PHP op 14 augustus 2026, de bevestiging door PHP op 15 augustus 2026 en de melding van een tweede bug op 21 augustus 2026.

Wiz meldt dat het de eerste kwetsbaarheid op 19 augustus 2026 ontdekte met Wiz Atlas, Gemini 4 Argon en GPT-5.6 Sol. Op 20 augustus 2026 bevestigde het dat code zonder authenticatie op Drupal kon worden uitgevoerd, en op 21 augustus deed het hetzelfde voor WordPress. Op 24 augustus 2026 meldde Wiz de kwetsbaarheden aan het PHP-beveiligingsteam. Volgens de PHP Foundation voegde OpenAI op 18 september 2026 verdere aanvalsroutes toe. Volgens Wiz erkende PHP de meldingen op 21 september 2026 en begon het aan een gecoördineerde oplossing.

De onderliggende kwetsbaarheid kent een lange geschiedenis. Calif vertelt dat Stefan Esser in 2004 de eerste kwetsbaarheid voor uitvoering op afstand door overschrijding van de PHP-geheugenlimiet ontdekte, dat in 2020 een bug over een situatie met onvoldoende geheugen bij het project werd gemeld en dat een audit door OSTIF en Quarkslab in 2024 het probleem opnieuw aan het licht bracht, zonder misbruik ervan aan te tonen. De PHP Foundation schreef dat de audit van 2024 werd gefinancierd door de Sovereign Tech Agency en dat het werk aan een oplossing maandenlang herhaaldelijk stilviel en opnieuw werd opgestart: “We gaan niet doen alsof dat niet zo is: de vertraging was een structureel falen.”

OpenAI verklaarde dat het, gezien de ernst van de kwetsbaarheden en het wijdverbreide gebruik van PHP, dit beschouwt als een van de meest ingrijpende beveiligingskwesties van de afgelopen tijd. Voor zover het bedrijf weet, ontdekten geavanceerde AI-modellen de kwetsbaarheden eerder dan aanvallers, waarmee een periode ontstond die het de ‘Defender’s Window’ noemt. Het bedrijf stelde 1 miljard dollar aan gesubsidieerde toegang tot Daybreak beschikbaar voor eerstelijnsverdedigers en publiceerde een PHP-versiecontrole als Codex-skill in de GitHub-repository openai/php2shell-checker.

Een uitgelekte bekendmaking en een geschonden embargo

De PHP Foundation meldt dat de gecoördineerde bekendmaking standhield tot twee dagen voor de beoogde releasedatum. Rond 15.00 UTC op 20 oktober 2026 begonnen de twee CVE-ID’s rond te gaan op onlinefora en sociale media, met een verkeerde releasetijd en een onjuiste CVSS-score van 10,0, hoewel er geen technische details uitlekten. Het PHP-project vervroegde de vooraankondiging naar 19.30 UTC die dag en verschoof de release van 22 oktober 2026 naar 21 oktober 2026 om 14.00 UTC. Daarbij meldde het dat distributeurs de oplossing nog aan het verpakken waren.

Rond 20.00 UTC op 20 oktober publiceerde Calif per ongeluk een video waarop te zien was hoe zijn proof of concept op een aantal doelen werkte. Volgens de Foundation gingen kopieën ervan rond en droegen ze op 21 oktober bij aan de versnelde ontwikkeling van verschillende proof-of-conceptexploits. Om 07.41 UTC op 21 oktober, meer dan zes uur vóór de gecoördineerde release, verbrak Chainguard eenzijdig het embargo en publiceerde het gebouwde images met de oplossing, meldt de Foundation. Het PHP-beveiligingsteam hield de proof-of-conceptexploits in de gaten die na het lek verschenen, maar trof op het moment van de release en de openbare bekendmaking geen werkende exploits aan.

Coördinatie met overheden en een voorgesteld kader

OpenAI zei dat het samenwerkte met partners om verschillende onderdelen van de Amerikaanse overheid te betrekken, waaronder de Super Intelligence Force van het Witte Huis, het Office of the National Cyber Director en het Cybersecurity and Infrastructure Security Agency, evenals internationale partners. Zo moest beveiligingsrichtlijn de cruciale organisaties bereiken. Wiz zei dat het vóór de openbare bekendmaking samenwerkte met Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel en anderen om richtlijnen voor klanten, detectiemogelijkheden en direct inzetbare maatregelen voor organisaties voor te bereiden die niet onmiddellijk kunnen updaten.

OpenAI publiceerde ook een voorgesteld raamwerk in vijf fasen voor de aanpak van kritieke kwetsbaarheden in veelgebruikte software: de kwetsbaarheid in de upstreambron valideren en verhelpen, getroffen organisaties tijd geven om actie te ondernemen, de coördinatie met overheidspartners verzorgen, updates voorbereiden voor alle getroffen producten en richtlijnen publiceren zodra er een patch beschikbaar is. Het bedrijf vroeg de beveiligingsgemeenschap om feedback op deze aanpak.

De PHP Foundation, die in mei 2026 een Ecosystem Security Team oprichtte en in juli 2026 Alexandre Daubois en in september 2026 Daniel Scherzer aannam, zei dat het team sinds 1 juli 2026 15 CVE’s heeft gepubliceerd en tegelijkertijd meer dan 100 meldingen heeft behandeld die ongeldig, dubbel of niet reproduceerbaar bleken. De Foundation riep bedrijven, hostingproviders, cloudplatforms, distributies en overheden waarvan de diensten op PHP draaien op om de organisatie financieel te steunen.