AI helpt hackers-puzzel rond oud PHP-probleem op te lossen

De kwetsbaarheden troffen virtueel elke PHP-versie van 5.4 tot en met 8.5 en brachten miljoenen websites (waaronder grote platformen op WordPress, Drupal en Joomla) in direct gevaar voor Remote Code Execution (RCE) zo staat te lezen op de speciale website van Calif.io.

Akte I (2004): De vergeten oorsprong

De wortels van het probleem gaan terug naar 2004 – de tijd vóór de iPhone, toen de bekende onderzoeker Stefan Esser de allereerste memory limit remote vulnerability in PHP ontdekte. Destijds was de kwetsbaarheid zo gevaarlijk dat Esser besloot geen exploit-code te publiceren. Slechts een exclusief groepje beveiligingsbedrijven (zoals CORE en Immunity Inc.) wist de kwetsbaarheid destijds intern na te bouwen.

In de jaren die volgden werden talloze unserialize()- en use-after-free-fouten in PHP opgespoord en gedicht. De aanname dat de fundamenten van het geheugenbeheer in PHP waterdicht waren geworden, bleek echter te vroeg gefocust op de standaard aanvalspaden.

Akte II (2020 & 2024): De gemiste waarschuwingen

In 2020 meldde een onderzoeker onder de schuilnaam jr@coredu.edu bug #78876 aan het PHP-project. Het rapport liet zien dat extreem lange variabelen konden leiden tot een out-of-memory (OOM) fout, waarbij tijdelijke bestanden niet netjes werden opgeruimd. De melding werd afgedaan als een onschuldige randzaak en verdween in de archieven.

Vier jaar later, tijdens een grote beveiligingsaudit door OSTIF en Quarkslab in 2024, doken er opnieuw sporen op van ditzelfde OOM-probleem. Hoewel onderzoekers vermoedden dat er gevaar in schuilde, kon niemand toentertijd bewijzen dat het daadwerkelijk misbruikt kon worden voor het overnemen van een server. Omdat de "proof of concept" uitbleef, bleef een grondige herstelactie steken.

Akte III (2026): AI legt de tijdbom bloot

De echte doorbraak kwam in de zomer van 2026 via het Patch the Planet-initiatief van OpenAI. Samen met onderzoekers van het beveiligingsbedrijf Calif en Wiz werd het PHP-fundament opnieuw onder de loep genomen.

Door gerichte vragen te stellen aan geavanceerde AI-modellen over de oude OOM-fouten van Esser, stootten de onderzoekers in augustus op het missende puzzelstukje:

CVE-2026-109618 (RCE via OOM-corruptie): Wanneer het geheugen volloopt tijdens het verwerken van een verzoek (bijvoorbeeld via een speciaal opgezette multipart-POST), breekt PHP de uitvoering abrupt af via een longjmp. Het systeem laat de intern opgebouwde data echter in een ongeldige staat achter, waarna de opruimroutine (shutdown) die corruptie leest als geldige geheugenstructuren.

CVE-2026-109619 (Stale Global State): Een wereldwijde referentie in het PHP-werkproces blijft na een foutmelding wijzen naar reeds vrijgegeven geheugen. Een volgend verzoek dat door dezelfde server-process wordt afgehandeld, leest die verouderde data vóór de herinitialisatie, wat leidt tot een use-after-free RCE.

Noodreparatie en wereldwijde impact

Met een maximale risicoscore van 9.2 (CVSS v4.0) bracht het PHP-team op 21 oktober 2026 spoed-updates uit (versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35). Omdat een eenvoudige bestandsvervanging op de schijf actieve PHP-processen in het geheugen niet herstart, moesten systeembeheerders wereldwijd niet alleen updaten, maar hun webservers en PHP-FPM daadwerkelijk herstarten om de dreiging af te wenden.

Het PHP2Shell-verhaal toont hoe een schadelijke fout meer dan twintig jaar onopgemerkt in de kern van het internet kan blijven zitten — en hoe de combinatie van historische cyberkennis met moderne AI-analyse ten slotte het doorslaggevende bewijs leverde om het lek definitief te dichten.