PHP2Shell: twee lekken in PHP zetten een groot deel van het web onder druk
De PHP Foundation bracht op 21 oktober patches uit, maar aanvallers waren al eerder actief. Wie PHP draait, moet nu updaten.
Twee kritieke kwetsbaarheden in PHP, bekend als PHP2Shell (CVE-2026-109618 en CVE-2026-109619), laten aanvallers via het internet code uitvoeren op een server, zonder wachtwoord en zonder dat iemand iets moet aanklikken, schrijft TechCrunch. PHP draait onder meer onder WordPress, Drupal, Joomla en MediaWiki, en zit ook in routers, firewalls en vpn-toestellen.
De PHP Foundation publiceerde de patches op woensdag 21 oktober. Volgens TechCrunch zag Amazon al ongeveer een week eerder misbruik, en meldde Cloudflare na de bekendmaking een explosie van aanvalspogingen. Onderzoekers van het bedrijf Calif vonden de lekken; AI hielp bij het uitwerken van de aanvallen, maar het meeste werk steunde op hun kennis van de PHP-code.
De Tijd ziet in de paniek een teken dat de beheerstructuren van het internet niet zijn aangepast aan snelle, door AI geholpen aanvallers. Beveiligingsbedrijven als Cloudflare en Akamai lijken op de beurs de winnaars, maar zijn al duur geprijsd, schrijft de krant.