OpenAI's AI vindt tien jaar oude PHP-fout en coördineert de fix
Een paar ernstige beveiligingsfouten in PHP, de scripttaal die een groot deel van ‘s werelds websites aandrijft, heeft deze week een zeldzame wereldwijde race veroorzaakt. De bugs werden ontdekt met hulp van OpenAI’s AI-tools en vervolgens verholpen in een gecoördineerde haast waarbij softwarebeheerders, beveiligingsbedrijven, cloudproviders en nationale cybersecurityagentschappen betrokken waren, aldus OpenAI en beveiligingsonderzoekers.
De twee kwetsbaarheden, gegroepeerd onder de bijnaam PHP2Shell en geregistreerd als CVE-2026-109618 en CVE-2026-109619, scoorden beide 9,2 op 10 op de CVSS v4.0-ernstschaal. In het ergste geval zou een aanvaller willekeurige code kunnen uitvoeren op een kwetsbare server, wat ongeveer zo ernstig is als webbeveiliging kan zijn. Naar verluidt hebben de fouten meer dan een decennium in de codebase verscholen gezeten.
De ontdekking kwam voort uit OpenAI’s Patch the Planet-programma, een initiatief dat AI-modellen koppelt aan beveiligingsonderzoekers om zwakke plekken in veelgebruikte open-source software op te sporen. Beveiligingsbedrijf Calif en cloudbeveiligingsbedrijf Wiz zouden de PHP-problemen in augustus onafhankelijk van elkaar met AI-hulp aan het licht hebben gebracht. Wat volgde was ongeveer twee maanden stil werk om fixes voor te bereiden voordat iemand de bugs kon wapenen.
Dat plan werd verstoord toen details op 20 oktober uitlekten, blijkbaar vóór de gecoördineerde releasedatum. Het lek stuurde PHP-operatieteams een lange nacht in, terwijl beheerders zich haastten om de blootstelling te beoordelen en mitigerende maatregelen toe te passen. De PHP Foundation bracht op 21 oktober officiële patches uit, en OpenAI publiceerde dezelfde dag zijn verslag van de hele inspanning.
Het verhaal is veel belangrijker dan alleen voor ontwikkelaarsforums. PHP ligt ten grondslag aan contentmanagementsystemen, forums en webwinkels over het hele internet, en schattingen die in Chinese technologiemedia circuleren, stellen dat het bereik ongeveer zeventig procent van de websites is. Een op afstand misbruikbare fout in die laag is een systemisch risico, geen nicheprobleem, en daarom sloten cloudproviders en overheidsbeveiligingsinstanties zich bij de respons aan.
Voor OpenAI is Patch the Planet ook een statement over hoe AI het onderzoek naar kwetsbaarheden zou kunnen veranderen. Het vinden van bugs op schaal is traditioneel langzaam, handmatig werk. AI-modellen kunnen enorme codebases snel scannen, maar het moeilijkere deel is het menselijke apparaat dat volgt: bevindingen verifiëren, patches schrijven, leveranciers waarschuwen en alles geheim houden totdat gebruikers kunnen updaten. De PHP-episode testte dat apparaat onder druk van een lek.
De episode benadrukt ook een groeiende spanning. AI-ondersteunde ontdekking betekent dat er sneller meer fouten boven water komen, en niet elk project heeft de beheerders of middelen om snel te reageren. Normen voor gecoördineerde openbaarmaking, ooit een rustig hoekje van de industrie, worden een wereldwijde logistieke oefening waarbij bedrijven en agentschappen betrokken zijn die zelden met elkaar praten.
Voor gewone gebruikers en bedrijven is het praktische advies onveranderd: update PHP-installaties en afhankelijke software tijdig, en let op leveranciersadviezen. Voor de industrie is de les misschien dat AI nu deel uitmaakt van de beveiligingsketen, en de race gaat niet langer alleen over het vinden van bugs, maar over het verhelpen ervan voordat het internet erachter komt.