AI: weldoener of boosdoener?

Op woensdag 21 oktober gingen wereldwijd honderden websites uit de lucht. Overheidssites in Europa, Nintendo en het Berlijnse ziekenhuis Charité haalden diensten offline. De meeste waren niet gehackt. Ze gingen uit voorzorg op zwart, omdat er twee ernstige lekken in PHP waren gevonden en de beheerders tijd nodig hadden om ze te dichten. Ook in Nederland ging er een waarschuwing uit.

PHP is de programmeertaal onder zo'n zeventig procent van alle websites. WordPress draait erop, net als veel webshops, klantportalen en flink wat maatwerksoftware van tien of vijftien jaar oud. Wie de update mist, loopt het risico dat een buitenstaander op afstand eigen code op de server uitvoert. Erger kan het voor een webserver nauwelijks worden.

Gevonden met AI

Onderzoekers van het beveiligingsbedrijf Calif vonden de lekken ongeveer twee maanden eerder met de AI-tools van OpenAI. Daarna volgde een gecoördineerde aanpak: PHP maakte de reparaties, grote hostingpartijen werden ingelicht en op 21 oktober kwamen de updates uit.

De fouten zaten er al jaren in. Volgens Wiz, dat ook aan het onderzoek meewerkte, is elke PHP-versie van het afgelopen decennium kwetsbaar voor minstens één van de twee. PHP is open source, dus iedereen kan de code lezen en veel mensen doen dat ook. Toch bleven deze fouten liggen tot een AI-model ze aanwees. Hier is AI de weldoener: het vindt wat mensen jarenlang over het hoofd zagen, voordat iemand er misbruik van maakt.

En toen waren de boefjes aan de beurt

Diezelfde dag zag Cloudflare de eerste aanvallen al. Het beveiligingsbedrijf watchTowr meldde aanvalspogingen met tools die met hulp van AI in elkaar waren gezet. Volgens Wiz hebben de nieuwste AI-modellen de drempel flink verlaagd om van een oude fout een werkende aanval te maken. OpenAI erkende zelf ook dat AI aanvallers kan helpen deze lekken te misbruiken.

Johan Cruijff wist het al: elk voordeel heb z'n nadeel. AI helpt de onderzoeker die lekken zoekt om ze te dichten. Het helpt net zo goed de aanvaller die lekken zoekt om in te breken. Die aanvaller wordt er sneller van en lijkt ook een stuk slimmer. Wie een paar jaar geleden geen werkende aanval kon schrijven, laat dat nu door een AI-model doen. Bij phishing zie je hetzelfde. De mail vol taalfouten waar je vroeger meteen doorheen prikte, is foutloos geworden.

De tijd om te reageren krimpt

Vroeger had je na een beveiligingsupdate vaak nog weken voordat er op grote schaal misbruik van werd gemaakt. Bij deze PHP-lekken zat er nog geen dag tussen. Je moet dus snel kunnen handelen. Dat kan alleen als je weet wat je draait.

Daar wringt het bij veel bedrijven. De website is gebouwd door een bureau, het klantportaal door een freelancer die al jaren weg is en ergens staat een interne applicatie op een server waar niemand meer aankomt. Volgens Detectify draait ongeveer de helft van de PHP-websites op een versie die geen updates meer krijgt. Voor die systemen bestaat er geen snelle patch. Daar helpt alleen upgraden en dat is meestal een project van weken of maanden.

Of het om maatwerk gaat of om een standaardpakket: draait het op PHP, dan ben je net zo kwetsbaar. Het verschil zit in wie er ingrijpt. Bij maatwerk kun je dat zelf en moet je het ook zelf doen. Jij of je ontwikkelaar werkt PHP bij en test of alles daarna nog werkt. Bij een standaardpakket of een online dienst ligt het bij de leverancier. Dan kun je alleen hopen, vertrouwen of bidden dat die er net zo snel bij is als de aanvallers.

Dit keer was het PHP. Eind 2021 was het Java, via Log4j: een veelgebruikt onderdeel waarmee Java-programma's bijhouden wat ze doen. Ook toen moesten organisaties wereldwijd halsoverkop patchen en Wiz vergelijkt de PHP-lekken er nu ook mee. Software bevat fouten, dat is een feit. In welke taal de software geschreven is of wie die levert, maakt daarbij niet uit. Wat je wel in de hand hebt, is hoe snel je een fout kunt dichten zodra die bekend is.

Een paar vragen die je deze week kunt stellen:

• Welke van onze systemen draaien op PHP of op andere software die we zelf moeten bijwerken?
• Wie is verantwoordelijk voor updates en hoe snel worden ze geïnstalleerd?
• Welke leveranciers moeten voor ons patchen en weten we of ze dat al gedaan hebben?
• Draaien we versies die nog ondersteund worden?
• Kunnen we een systeem een dag offline halen zonder dat het werk stilvalt?

Weldoener of boosdoener?

Allebei. AI maakt beide kanten sneller en wie er het meest van profiteert, hangt af van wie er als eerste bij is. Bij PHP hadden de verdedigers twee maanden voorsprong. Toch moesten op de dag zelf honderden organisaties hun websites uitzetten om bij te blijven. Hoe beter je weet welke software je hebt en wie die onderhoudt, hoe sneller je bij het volgende lek kunt handelen.

Twijfel je of jouw software kwetsbaar is? Leg het bij ons neer. We zoeken uit welke software je draait, wie het onderhoud doet en waar de risico's zitten. De intake is gratis, want we zijn nieuwsgierig naar wat er bij jou speelt.

Bronnen

• KrebsOnSecurity, Widespread PHP Flaw May Cause Many Site Outages Today, 21 oktober 2026
• The Record, Hundreds of websites taken offline as concern grows over two PHP vulnerabilities, 21 oktober 2026