De Tweede Kamer, MijnOverheid, websites van ziekenhuizen en minstens 13 van de 25 veiligheidsregio’s gingen woensdag uit voorzorg offline. De reden: twee kritieke lekken in PHP, de programmeertaal onder zo’n 70 procent van alle websites volgens W3Techs, die beveiligingsbedrijf Wiz vond met hulp van Gemini 4 Argon van Google en GPT-5.6 Sol van OpenAI. Via de lekken, samen PHP2Shell genoemd, kan een aanvaller zonder in te loggen een webserver overnemen.<\/p>\n\n\n\n
PHP kondigde op 20 oktober aan dat de update de volgende dag om 16.00 uur Nederlandse tijd zou verschijnen. Uren daarvoor lekten details al uit. CERT-EU, het cybersecurityteam van de EU, adviseerde organisaties om al hun PHP-toepassingen in kaart te brengen. Publieke websites die niet direct te patchen waren, konden volgens CERT-EU beter tijdelijk van het internet af.<\/p>\n\n\n\n
Veel Nederlandse organisaties volgden dat advies op. Volgens AG Connect waren onder meer de Tweede Kamer, MijnOverheid, de Schiphol-app, het Havenbedrijf Rotterdam en sites van ziekenhuizen als Maastricht UMC+ en het Jeroen Bosch Ziekenhuis offline. Van de 25 veiligheidsregio’s waren er minstens 13 niet bereikbaar. Ook het NCSC haalde zijn eigen site uit voorzorg offline. De meeste sites van de Rijksoverheid bleven gewoon bereikbaar, omdat ze niet op PHP draaien.<\/p>\n\n\n\n
MijnOverheid was volgens de NOS kort na 18.00 uur terug, de website van DigiD rond 20.30 uur. Ook in Belgi\u00eb, Finland, Frankrijk en Duitsland gingen overheidssites tijdelijk offline.<\/p>\n\n\n\n
Beide lekken zijn geheugenfouten in de manier waarop PHP herstelt na een fout, bijvoorbeeld als een verzoek te veel geheugen vraagt. Beschadigde gegevens blijven dan achter, en een volgend verzoek kan die misbruiken. Volgens Wiz zit minstens een van de fouten in elke PHP-versie van het afgelopen decennium, terug tot PHP 5.4 uit 2012.<\/p>\n\n\n\n
Wiz nam zo standaardinstallaties van WordPress, Drupal en Joomla over. Zelfs een simpele “Hello World”-pagina op een kwetsbare PHP-versie kan volgens Wiz risico lopen. Een tweede route leest wachtwoorden, tokens en API-sleutels rechtstreeks uit het geheugen van de server.<\/p>\n\n\n\n
Wiz zette zijn eigen agent Wiz Atlas in, samen met Gemini 4 Argon en GPT-5.6 Sol. De modellen hielpen volgens Wiz bij het vinden van de fouten, het aanpassen van de aanval aan verschillende PHP-versies en het controleren van de oplossing. Tussen de eerste fout op 19 augustus en een werkende overname van WordPress zaten twee dagen. Los daarvan vond beveiligingsbedrijf Calif een van de lekken met GPT-5.6 Sol, binnen het programma Patch the Planet van OpenAI. OpenAI zegt dat AI deze fouten voor zover bekend eerder vond dan aanvallers.<\/p>\n\n\n\n